extranet beveiliging

[Verwijderd]

Hallo Tweakers,
Voor een extranet willen we een beveiligd gedeelte maken op een internetsite waarbij bezoekers die een code hebben kunnen inloggen, we willen hierbij veel aandacht besteden aan een goede beveiliging.
We gebruiken Access en ASP

We zoeken geen code maar tips waar we op moeten letten tijdens het maken hiervan.
b.v.d.

[Verwijderd]

Zorg ervoor dat niet alleen de "ingang" is beveiligt, maar ook de pagina's die daar achter liggen. Maakt bijvoorbeeld een functie validate en roep deze bij elke pagina in het begin aan:

if ( !$validate() ) {
exit;
}

Dit is dat PHP code, heb helaas (nog?) geen kennis van de ASP syntax maar veel zal het niet verschillen.

[raptorix]

Op maandag 12 november 2001 09:03 schreef nick101 het volgende:
Hallo Tweakers,
Voor een extranet willen we een beveiligd gedeelte maken op een internetsite waarbij bezoekers die een code hebben kunnen inloggen, we willen hierbij veel aandacht besteden aan een goede beveiliging.
We gebruiken Access en ASP

We zoeken geen code maar tips waar we op moeten letten tijdens het maken hiervan.
b.v.d.

Gebruik een session variable die bijhoudt of iemand ingelogt is, zoniet, redirect je hem naar de login pagina, handigst is een include te maken die dit doet en deze include je dus op elke pagina.

[Verwijderd]

Op maandag 12 november 2001 11:19 schreef raptorix het volgende:

[..]

Gebruik een session variable die bijhoudt of iemand ingelogt is, zoniet, redirect je hem naar de login pagina, handigst is een include te maken die dit doet en deze include je dus op elke pagina.

En wat kunnen jullie mij vertellen over de beveiliging van de accessdatabase op zich, buiten het wachtwoord.

[raptorix]

Op maandag 12 november 2001 11:23 schreef nick101 het volgende:

[..]

En wat kunnen jullie mij vertellen over de beveiliging van de accessdatabase op zich, buiten het wachtwoord.

In een directory buiten de webroot zetten das behoorlijk veilig, password op een accessdatabase is niet echt veilig omdat het makkelijk gekraakt kan worden.

[raptorix]

Daarnaast kan je beter sqlserver gebruiken, als je een office 2000 licentie hebt (proffesional edition of enterprise) zit de sql engine er gratis bij (heet msde)

[Rukapul]

Is het geen optie om bepaalde directories af te schermen met user/pass? Dat is makkelijker dan alle scripts aan te passen. Je kunt gewoon de standaard opties van IIS (of apache .htaccess) gebruiken.

[raptorix]

Op maandag 12 november 2001 11:30 schreef Rukapul het volgende:
Is het geen optie om bepaalde directories af te schermen met user/pass? Dat is makkelijker dan alle scripts aan te passen. Je kunt gewoon de standaard opties van IIS (of apache .htaccess) gebruiken.

Das een mogelijkheid maar punt is dan wel dat het aanmaken van nieuwe users ook weer vanuit je os moet gebeuren, er zijn wel wat mogelijkheden om dit via scripts te doen maar dat vergt nogal wat kennis.

[Verwijderd]

Op maandag 12 november 2001 11:27 schreef raptorix het volgende:

[..]

In een directory buiten de webroot zetten das behoorlijk veilig, password op een accessdatabase is niet echt veilig omdat het makkelijk gekraakt kan worden.

De database komt inderdaad in een beveiligde directory te staan, waarom is de ACCESS database vrij makkelijk te kraken. Wat is standaard doe is er een paswoord opzetten.
Hoe is deze dan te kraken??

[raptorix]

Zijn gewoon tooltjes voor die het password lezen uit een access bestand.

[Verwijderd]

Op maandag 12 november 2001 13:32 schreef raptorix het volgende:
Zijn gewoon tooltjes voor die het password lezen uit een access bestand.

Kan je wat specifieker zijn over deze "tooltjes"

[raptorix]

Op maandag 12 november 2001 13:44 schreef nick101 het volgende:

[..]

Kan je wat specifieker zijn over deze "tooltjes"

http://www.vbrad.com/source/tip_mdb97_pass.htm

[Verwijderd]

Op maandag 12 november 2001 13:56 schreef raptorix het volgende:

[..]

http://www.vbrad.com/source/tip_mdb97_pass.htm

Dank je voor de tip !!

Wij gebruiken access2000 weet je toevallig of hier ook als een "cracktool" voor is???

[raptorix]

Op maandag 12 november 2001 14:07 schreef nick101 het volgende:

[..]

Dank je voor de tip !!

Wij gebruiken access2000 weet je toevallig of hier ook als een "cracktool" voor is???

Uh ja daar ben ik vrij zeker van. Er is zo een bedrijfje dat dit soort tools schrijft specifiek voor ms producten

[Verwijderd]

Op maandag 12 november 2001 14:12 schreef raptorix het volgende:

[..]

Uh ja daar ben ik vrij zeker van. Er is zo een bedrijfje dat dit soort tools schrijft specifiek voor ms producten

Ik heb even op internet gekeken het bij mij weten is er geen gratis tool te downloaden waar je ACCESS 2000 database mee kan kraken, wel een bedrijfje gevonden die dit kan maar dit gaat uiteraard tegen betaling. http://www.forensics-intl.com/breakers.html
Weet je of er ook en gratis tool is?

[raptorix]

gratis weet ik niet maar voor 30 dollar heb je er hier 1:

http://www.elcomsoft.com/acpr.html