[PHP] login / add user

[ArchRAIDen]

Ok, het volgende,

ik ben bezig met een site, nu heb ik de login pagina beveiligd met de volgende methode (ook van t.net geplukt):

(1) Server stuurt client random var, $rnd

(2) Client neemt MD5 hash van ingetyped password, $md5up = md5($userpass)

(3) Client string concat (1) met (2) en neemt daar md5 hash van, $net = md5($md5up.$rnd)

(4) Client stuurt server $net, niet in plaintext en ook geen replay attack mogelijk

(5) Server haalt echte gehashde wachtwoord uit database, $md5realpass. Wachtwoorden staan niet plaintext in de database dus.

(6) Server vergelijkt. $net == md5($md5realpass . $rnd). Als gelijk, login correct.

Alleen, nu wil ik ook de mogelijkheid een user toe te voegen via de site zodat deze ook op de site kan komen.

Nu kan ik het password voor de nieuwe gebruiker wel MD5 over het netwerk sturen, maar ik wil eigenlijk net zoiets als bovenstaande methode, heb alleen geen idee hoe dat te doen.

iemand een oplossing?

[Verwijderd]

Als je clientside al de md5 hash maakt zodat er geen passwords over internet worden verzonden lijkt dat me toch behoorlijk veilig? Er zijn nogal wat mogelijke md5 hashes

Maak voor jezelf een afweging: hoe veilig moet je site/app zijn? Op deze manier ben je hartstikke veilig bezig, immers, er worden geen passwords verzonden. In de meeste gevallen lijkt het me onnodig om nog verder te beveiligen

Als je dan nog denkt dat je niet veilig genoeg bezig bent, kijk dan eens naar https

[ Voor 49% gewijzigd door Verwijderd op 17-02-2003 20:02 ]

[ArchRAIDen]

Ja, prcs, alleen "makkelijke" passwoorden dan bedoel ik in de reeks A-Z en 0-9 zijn op zich makkelijk te 'brute-forcen' mits ze niet te lang zijn (7 karakters oid), ik vroeg me alleen af of er nog een andere manier was dan alleen de md5 hash over te sturen.

[esf]

Werk je voor DNB? Volgens mij is het niet echt nodig om alles 5 keer te encrypten en alles eromheen. Als je het veilig wilt doen kun je beter SSL gaan gebruiken..

[Glimi]

esf schreef op 18 February 2003 @ 17:15:
Werk je voor DNB? Volgens mij is het niet echt nodig om alles 5 keer te encrypten en alles eromheen. Als je het veilig wilt doen kun je beter SSL gaan gebruiken..

Ik zou de topicstarter niet willen ontmoedigen om goed na te denken over encryptie en toe te passen. Alleen zo leer je
1) of de applicatie niet onnodig traag maakt
2) of het nuttig is.

Verder heb ik ook het idee dat het niet om een proffesioneel iets gaat, en dan is experimenteren altijd leuk natuurlijk

[ArchRAIDen]

Glimi heeft helemaal gelijk, het gaat niet om iets professioneels, het is alleen om te experimenteren en wat wijzer worden uiteraard.