[php] inlog systeem veilig?

[Skaah]

Op het moment werk ik aan een projectje waarbij inloggen nodig is. In een database worden de gegevens van de gebruikers bewaard, een varchar user en een varchar password. Het wachtwoord wordt als md5 opgeslagen.

Nadat je hebt ingelogd wordt je naar een pagina gestuurd met een url als deze:
^{Let ff niet op het localhost deel}

http://localhost/cms/index.php?uid=Admin&pwd=f2914c239a72ac9cec1118903b0e608b&
key=a1465e7124722548c04894d9d5d04a65

.
Uid en pwd spreken voor zich. Deze worden gecontroleerd met de database. De 'key' bestaat uit een md5-hash van het ip van de gebruiker, de browserversie en een string. Deze string is altijd gelijk maar bevat alleen pure onzin.

Als de gebruikersnaam en wachtwoord combinatie klopt, en de 'key' klopt met server-side gegenereerde key, krijgt een gebruiker toegang.

Lijkt mij toch redelijk veilig. Het is niet mogelijk om je url aan iemand door te kopieëren (ander ip, dus key klopt niet meer) en je kunt het wachtwoord van de gebruiker zo ook niet raden. Brute-force lijkt me ook redelijk safe.

Vinden jullie dit ook veilig of moet er nog iets aan toe gevoegd worden met koekjes of sessies?

[Verwijderd]

de admin kan dus nooit inloggen vanaf een andere computer (andere ip).
beetje raar vind ik dat

[gorgi_19]

Heb je al rekening gehouden met een proxy dan?

[GlowMouse]

en hoe zit het op een opbare pc met de surfhistory?

[chris]

De oplossing voor deze problemen: sessions. Deze zijn ook tijdsgebonden, en verlopen zodra je de browser compleet afsluit...

[Skaah]

Verwijderd schreef op 29 August 2003 @ 19:25:
de admin kan dus nooit inloggen vanaf een andere computer (andere ip).
beetje raar vind ik dat

Als iemand (ook) op een andere pc inlogd, met een ander ip, wordt ook server-side een nieuwe key gemaakt. Je kunt dus op meerdere ip's (tegelijk) ingelogd staan.

GlowMouse schreef op 29 augustus 2003 @ 19:28:
en hoe zit het op een opbare pc met de surfhistory?

Hmm, dus eigenlijk zou er nog even een tijdsgebonden koekje aan moeten.

/dev/null schreef op 29 augustus 2003 @ 19:34:
De oplossing voor deze problemen: sessions. Deze zijn ook tijdsgebonden, en verlopen zodra je de browser compleet afsluit...

Sessions heb ik overnagedacht, maar ik kreeg ze niet voor elkaar op mijn dev-config (Windows XP, Janaserver, php en mysql). Ik heb ze bij ASP/JS wel gebruikt, was altijd erg makkelijk...

[pietje63]

Ik zal toch sesions nog een keer goed nakijken. Probeer eerst een test script dat je ergens download om te kijken of die wel werkt dan weet je of het aan je config of aan je script lag.

[ripexx]

Lees het volgende topic eens goed door, staan een hoop tips, ervaringen en stukjes code in waarmee je een zeer veilig login script kan bouwen. [rml][ php] User authenticatie veilig? "Hacker-proof"?[/rml]

Nadeel van oa jouw script is dat de ip geen enkele toegevoegde waarde heeft, aangezien deze clientside via een md5 wordt gegenereerd. Verder vergelijk je het encrypted passwd via de url en wil dit in sommige browsers ook achterblijven, waardoor een hack zeer makelijk is.