[PHP] User management & security

[josvane]

Veilig login systeem

Hobbymatig ben ik erg geïnteresseerd in maken van web applicaties. De techniek waar ik “goed” bekend mee ben is een combinatie van PHP en MySql. Daarnaast vindt ik het in mijn applicaties belangrijk dat het intuïtief werkt. Daarom heb ik dus ook grote interesse in de mogelijkheden van CSS3 en jquery.

Een deel van mijn codes wordt ook in semi professionele omgevingen gebruikt. Op dit moment heb ik het database gedeelte van PHPBB uitgeplozen en kan ik hiervan gebruik maken. Waarmee ik dus beveiligd ben tegen sql injecties

Eerder heb ik mijn login systeem gebaseerd op een sha256 login systeem. De bron van deze code heb ik op internet gevonden (kan het niet meer vinden) maar is refereert naar dit document

Nu krijg ik inmiddels vanuit deze code melding dat sommige code deprecated is. Nu kan ik deze meldingen wel verbergen maar dat is niet de oplossing.

Daarnaast wil ik dat mijn logins zo goed mogelijk beveiligd zijn.

Nu was mijn idee om te zoeken naar een kant een klaar systeem met de volgende functies. Welke goed beveiligd zijn.
• Inlog mogelijkheid
• Wachtwoord vergeten
• Registratie formulier
• Wijzigen van wachtwoord
• User activation (confirmation mail)

Overig functies kan ik zelf inbouwen zoals.
• Lock-out options
• Gebruikersrechten
• Enz enz

Het login systeem moet voor meerdere sites gebruikt gaan worden maar zal middels een sessie bekent maken voor welke website er ingelogd wordt. Alle website hangen onder hetzelfde domein en login formulier komt te staan op https://secure.domeinnaam.nl
Wel is het zo dat deze op verschillende servers staan.

Het login gedeelte komt alleen beschikbaar op HTTPS maar het lijkt mij dat het verstandig blijft om gebruik te maken van bijvoorbeeld challenge/response en/of salting.

Mijn zoektocht op internet heeft wel wat op geleverd maar een opensource oplossing of eventueel betaald heb ik niet kunnen vinden, tenminste niet iets wat er betrouwbaar uit ziet.

Onderstaande manier heb ik gebruikt op gegoogled.
• Link 1
• Link 2
• Link 3

Heeft iemand een idee waar dit wel op deze wijze te vinden, wat ik dus graag wil is een goed doordacht systeem, waarbij je met een goed gevoel data/pagina's kan beveiligen.

[NMe]

Na al die keren dat we jou al op onze diverse FAQ's en de policy hebben gewezen zou je denken dat je inmiddels wel weet dat scriptrequests hier niet de bedoeling zijn. We blijven niet bezig.