Vraagjes over SSL*

[Pronk]

Ik ben inmiddels al een tijdje bezig met php maar wil nu het volgende.

Ik wil dat informatie zoals usernames en dergelijke niet zichtbaar zijn in de adresbalk van mijn browser.

Ik heb me laten vertellen dat die informatie versleuteld in mijn adresbalk staat
op het moment dat ik gebruik maak van een SSL server. klopt dit?

Als dit zo is. gebeurt dat dan standaard of moet ik ook nog op een andere manier gaan programmeren?


[edit] het is SSL i.p.v SSH

[ Voor 5% gewijzigd door Pronk op 11-11-2003 16:58 . Reden: SSH = SSL ]

[sphere]

Ben je een en ander niet lichtelijk aan het verwarren met SSL?

[Verwijderd]

Hu, wat heeft SSH met PHP te maken

Ik neem aan dat je SSL bedoelt?
Een SSL verbinding is inderdaad versleuteld. Iemand die probeert data te onderscheppen zal dus niet veel daaraan hebben.

Wil je van je variabelen in de adresbalk (zogenaamde GET-variabelen) af, dan zul je op een andere manier van variabelen transporteren over moeten stappen (zogenaamde POST-variabelen).

[Pronk]

Aha, dus de variabelen in mijn adresbalk worden niet standaard versleuteld via SSL?

Dan ga ik eens eventjes uitzoeken hoe ik POST-variabelen moet gaan gebruiken.
Heeft iemand misschien een linkje naar een goede site of artikel waar ik dat kan vinden?

[Verwijderd]

Pronk schreef op 11 november 2003 @ 17:08:
Aha, dus de variabelen in mijn adresbalk worden niet standaard versleuteld via SSL?

Dan ga ik eens eventjes uitzoeken hoe ik POST-variabelen moet gaan gebruiken.
Heeft iemand misschien een linkje naar een goede site of artikel waar ik dat kan vinden?

http://www.google.nl/sear...al&btnG=Google+zoeken&lr=

[dusty]

Titel aangepast.

[MisterData]

Post variabelen gebruiken ivm PHP is easy. Je zet gewoon bij je <form> tag method="post" erbij, en dan gebruik je in de PHP-code overal $_POST ipv $_GET (als je dat al gebruikte, wat natuurlijk wel netjes is )

[Pronk]

Oke ik weet nu hoe ik de Post variabelen moet gaan gebruiken.

nog 1 laatste vraag:

De variabelen in mijn adresbalk worden dus niet standaard versleuteld via SSL?
Dat is me nu namelijk nog steeds niet helemaal duidelijk.

[Glimi]

Het ligt eraan wat je 'versleutelt' noemt. Ik heb het idee dat je niet helemaal door hebt _wat_ SSL precies doet.

Stel we hebben drie partijen S de zender/persoon met een browser, R de receiver/de webserver en B welke probeert te zien welke data S en R uitwisselen.
S neemt contact op met R en zegt 'ik wil veilige data met je uitwisselen'. R vindt dit goed en stuurt zijn public key naar S met de mededeling 'versleutel daar je 3DES key maar mee'. S doet dit en stuurt de encrypte 3DES key naar R en alleen R kan deze ontcijferen met z'n private key. Als dit vervolgens ook de andere kant op gegaan is, kan er verder gecommuniceerd worden met 3DES wat een stuk sneller gaat dan public/private key encryptie.
Arme B kan dus niet zien wat S en R met elkaar overleggen en kan ook niet zien welke URL's S opvraagt bij R en ziet dus geen get variabelen.

Echter omdat het een hoop technisch blabla is, wat ik een gebruiker nog niet zie doen. Daarom regelt een browser dat allemaal transparant. Een gebruiker ziet alleen aan het slotje onderin dat hij een SSL pagina bekijkt en ziet dus ook gewoon de URL in z'n adresbalk (met get variabelen erbij)

[it0]

Wat ik zou doen en doe is de username + password encrypten
en daarna vergelijken met de geëncrypte username+password die in mijn db zitten. Als je ze niet via post wil laten zien gebruik dan cookies of nog beter gebruik sessions waar deze informatie in staat. Sessions kan je lokaal in je db/server bewaren.

[Pronk]

Aha. nu is het duidelijk. Ik ga toch nog even wat artikeltjes doorlezen en dan ga ik er mee aan de slag!

Thx!