labaiss Posted February 1, 2011 Report Share Posted February 1, 2011 (edited) Labdien, Zinu, ka kaut, kas līdzīgs ir cilāts, bet meklēju&lasīju (šeit forumā) rezultātu neguvu! Tā tad - Kā izveidot DROŠU login sistēmu?(protams idejiski tikai) Mans domu gājiens: 1. DB glabājas user_name un hash(password) -> Uzreiz jaut.- Kā vislabāk hashot? (ar md5 vai kādu sha ?) 2. Pie ielogošanās pārbaudam vai username un password ir DB - Ja rezultāts TRUE, tad protams turpinam. 3. Izveidojam randomHash un saglabājam to tabulā "123" kopā ar attiecīgo ID un laiku (ielogošnās). 4. Ievietojam sesijā random Hash un ID. 5. Kad veram vaļā slepeno lapu no sesijas ņemam ID un randomHash pārbaudam vai tabulā "123" atrodas ID ar šo hashu un laiks nepārsniedz piem., 30min - ja pārsniedz nerādam slepeno lapu - ja nepārsniedz updeitojam ar šī brīža laiku Man jau tagad laikam liekas ka domāju nepareizi.... P.S. VNK - Kā pareizi to veidot? Jo manuprāt, vnk pārbaudīt DB vai pastāv username un password, un tad tos ierakstīt sesijā un katru reizi vnk pārbaudīt vai sesijā ir kaut kas ir pārāk vienkārši, lai būtu droši :D - ja kļūdos labojiet. + Varbūt kādam ir kāds links uz kādu tutoriāli&rakstu? Edited February 1, 2011 by labaiss Quote Link to comment Share on other sites More sharing options...
labaiss Posted February 1, 2011 Author Report Share Posted February 1, 2011 tikai, ko darīt ar tiem ierakstiem tabulā "123" kuri netiks dzēsti (respektīvi dzēšana notiktu pie izlogošanās)? jo ja aizver brwoseri ciet bet neizlogojas... Quote Link to comment Share on other sites More sharing options...
Aleksejs Posted February 1, 2011 Report Share Posted February 1, 2011 1. DB glabājas username, salt, paroles transformācija. Paroles transformāciju vēlams saprātīgā veidā izveidot tādu, lai tā būtu pietiekami unikāla tavai sistēmai. Piemēram: hash_hmac('sha256',hash_hmac('gost',$password,$salt,true),$password,false); 2. Jā 3. īsti neredzu lielu jēgu iesaistīt DB šādā veidā. Ja jau sesija tad sesija, protams, vari visu sesijas glabāšanas mehānismu pārnest uz DB. 4. skat. 3. 5. skat. 4. ;) Problēmas: Pie ielogošānās pa tīklu ceļo nešifrēta parole. Pēc ielogošanās, pietiek uzminēt/nozagt/izvilināt SesijasID un tiec sistēmai klāt kā attiecīgais lietotājs. Quote Link to comment Share on other sites More sharing options...
mounkuls Posted February 1, 2011 Report Share Posted February 1, 2011 Kas tā par slepeno lapu, kurai jābūt piesietai 30 minūtes bez update? Lapai nav jābūt nemaz tik slepenai, ja pareizi uzturi kontaktu ar lietotāju. Slepenums var būt uzģenerētam failam, bet ne nau failā, kurā ir būts, pat ja tā sesija ir mirusi jau. Quote Link to comment Share on other sites More sharing options...
labaiss Posted February 1, 2011 Author Report Share Posted February 1, 2011 Kas tā par slepeno lapu, kurai jābūt piesietai 30 minūtes bez update? Lapai nav jābūt nemaz tik slepenai, ja pareizi uzturi kontaktu ar lietotāju. Slepenums var būt uzģenerētam failam, bet ne nau failā, kurā ir būts, pat ja tā sesija ir mirusi jau. labi nevis slepenā, bet parastā lapa. Doma ir vnk tāda, ja lietotājs atstājis kompjūteru un neaizvēris browseri, tad sliktais lietotājs pēc 30min tāpat neko navarēs izdarīt pieejot pie ši kompjūtera. ĻOTI iespējams, ka es kļūdos - tapēc lūdzu pasaki, kā tu darītu, kā darīt pareizi? vai nedarīt vispār :) paldies. Quote Link to comment Share on other sites More sharing options...
spainis Posted February 1, 2011 Report Share Posted February 1, 2011 ar JS klienta pusē jau veikt paroles hash'ošanu Quote Link to comment Share on other sites More sharing options...
labaiss Posted February 1, 2011 Author Report Share Posted February 1, 2011 http://hungred.com/useful-information/php-secure-login-tips-and-tricks/ manuprāt labs resurs Quote Link to comment Share on other sites More sharing options...
Aleksejs Posted February 1, 2011 Report Share Posted February 1, 2011 Resurss labs, taču par vairākkārtēju hashošanu tur īsti nav pareizi. https://secure.wikimedia.org/wikipedia/en/wiki/Key_strengthening Quote Link to comment Share on other sites More sharing options...
mounkuls Posted February 1, 2011 Report Share Posted February 1, 2011 (edited) Doma ir vnk tāda, ja lietotājs atstājis kompjūteru un neaizvēris browseri, tad sliktais lietotājs pēc 30min tāpat neko navarēs izdarīt pieejot pie ši kompjūtera. ĻOTI iespējams, ka es kļūdos - tapēc lūdzu pasaki, kā tu darītu, kā darīt pareizi? vai nedarīt vispār :) Nevajag sliktajam lietotājam tādu iespēju dot. Lietotājam lietojot kādu kontu ir jāapzinās, ka kaimiņš pienākot pie viņa neaizvērtā pārlūka to varēs, -> pašam jāsaprot, ne Tev par to jāgādā. Brīdināt vari ar kādu tekstu, protams, bet ne Tev tas jārisina. Ja baigi gribi čekot vai tiešām pie datora to 30 minūšu laikā netika nekādas darbības (pārlūka lapā) veiktas, dari to kaut vai ar javascript. Edited February 1, 2011 by mounkuls Quote Link to comment Share on other sites More sharing options...
codez Posted February 1, 2011 Report Share Posted February 1, 2011 Man arī šausmīgi nepatīk, ka no rīta ieslēdzu nosuspendotu datoru un lapa prasa no jauna logoties. Principā visi lielie resursi, kurus izmantoju, nepraktizē šādu praksi - tas ir traucējoši lietotājam. Quote Link to comment Share on other sites More sharing options...
labaiss Posted February 1, 2011 Author Report Share Posted February 1, 2011 ok Quote Link to comment Share on other sites More sharing options...
daGrevis Posted February 1, 2011 Report Share Posted February 1, 2011 Kādus lietotāja datus glabāt sesijā? Quote Link to comment Share on other sites More sharing options...
KarlisBa Posted February 3, 2011 Report Share Posted February 3, 2011 daGrevis, nu noteikti nevajadzētu glabāt paroli. :) Vari glabāt identifikatoru, vārdu, un tādas ne vitāli svarīgas lietas. Quote Link to comment Share on other sites More sharing options...
daGrevis Posted February 3, 2011 Report Share Posted February 3, 2011 Tādā gadījumā... kā tiks pārbaudīts, vai attiecīgie sesijas dati nav mainīti? Nekā? Skaidrs. Quote Link to comment Share on other sites More sharing options...
rATRIJS Posted February 3, 2011 Report Share Posted February 3, 2011 Ja ja jebkursh var mainiit sesijas datus, tad serveris jau ir uzlauzsts... Quote Link to comment Share on other sites More sharing options...
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.