Hallo,

folgendes Szenario:
Ein Benutzer kann sich an einer Webseite anmelden. Für diese Webseite gibt es die Option eines "Komfortlogin", d.h. beim nächsten Besuch der Webseite ist eine Anmeldung nicht mehr notwendig.

Technik:
Für den "Komfortlogin" soll ein Cookie gesetzt werden, in dem sich der Username und das Passwort befinden. Beides natürlich verschlüsselt. Bei Aufruf der Webseite werden beide Inhalte ausgelesen und es findet eine automatische Anmeldung statt. Das Passwort ist in der Datenbank MD5-Verschlüsselt. Bei der Anmledung wird das Passwort nach MD5 verschlüsselt und verglichen.

Meine Frage:
Wie bekomme ist das Passwort im Cookie so verschlüsselt, das ich es wieder entschlüsseln kann um dann eine sichere Anmeldung durchzuführen?
Welche Verfahren sind die sichersten? oder
Wie macht Ihr so etwas?

Dank im voraus

Mister Ad

robo47

vergelich doch das verschlüsselte mit dem verschlüsslten im Cookie?

md5 kannst du nicht entschlüsseln, weil es ein hash-wert erstellt und der ist nicht 100% eindeutig, sprich es kann mehr als einen wert geben der den gleichen hashwert hat.

also wenn du in der datenbnak und im cookie md5 bentutz dürfte das alles kein problem sein

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

wenn du irgendwas wieder entschlüsseln willst, haste sinn und zweck des ganzen schon
mal nicht verstanden. meistens wird md5 oder auch sha1 zum "verschlüsseln" benutzt ..
und da es sich da um eine einweg-verschlüsselung handelt: man verschlüsselt alles und
vergleicht das verschlüsselte mit dem verschlüsselten. das muss ja identisch sein, wenn
der ausgangsstrich richtig war ..

Ich möchte das Passwort nicht als MD5-Verschlüsselung speichern, da es sich dann nicht um eine korrekte Anmeldung handelt, wenn ich das Cookie-PW einfach mit dem Datenbank-PW vergleiche. Ich möchte die Eingabe in ein Formular über den Cookie simulieren, das heißt ich muss das PW im Original aus dem Cookie ziehen können, d.h. ich brauche ein sicheres Verfahren für diese Idee

robo47

du musst ja nicht mit den daten beim comfortlogin arbeiten die du bei einem normalen login brauchst. einfach anstatt einer cookie-variable für username und password, das :

md5($username.$password.$registrierungsdatum);

benutzen oder was ähnliches und das als cookiekey oder so speichern bzw beim aufruf mit einem cookie aus den daten in der DB zusammenstellen, so hast du im cookie etwas stehen, womit man noch weniger anfangen kann als mit nem md5-verschlüsselten Passwort oder benutzername.

hoffe das geht so in die richtung was du meinst, weil egal was du beim user im cookie speicherst und irgendwie wieder entschlüsselbar ist, ist einfach nicht sicher, daran lässt sich nichts ändern.

mfg
robo47

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

robo47

ich verstehe nicht ganz warum du unbedingt ein login über ein forumular simulieren willst, obwohl es das ja eignetlich garnicht ist.

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

Ich habe da einfach Zweifel, wenn ich den Login-Mechanismus umgehe und im Cookie andere Daten speichere um den Komfortlogin durchzuführen, das das System dann noch sicher ist, den solche Daten können simuliert werden! Eine Idee war einfach die UserID, die jeder in der Datenbank hat zu speichern und darüber den Login zu machen, das ist sehr einfach und funktioniert auch wunderbar. Ist halt nur eine Zahl...

Noch etwas:

Ich halte den DIREKTEN vergleich von Daten im Cookie mit Daten aus einer Datenbank für potentiell Unsicher, ohne das da ein Verfahren dazwischen hängt, das eine relative Sicherheit bietet um die Daten eines Benutzers wirklich zu schützen.

robo47

d.h. aber gleichzeitig, dass es unsicher ist, weil du in irgendeiner Form die Daten im Cookie speicherst, wenns eh ein closed source system ist, wirds dadurch, dass du für den cookie einen speziellen key generiest eigentlich nur etwas sicherer, weil keiner weis aus was er zusammengesetzt ist, aber auf seiten des users, der das cookie hat, wirst du nie sonderlich sicher arbeiten können. und es macht eigentlich keinen unterschied ob du jetzt irgendwas md5-verschlüsseltes im cookie speicherst oder es sonstwie verschlüsselst, md5 hat den vorteil, dass man nur brute

mfg
robo47

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

robo47

hmm ups, hatte fenster lange offen und hab nciht geshenb, dass schon wieder post da ist.

md5($username.$password.$registrierungsdatum); wäre ja z.b. ein weg das zu umgehen, was du jetzt alles da reinpackst und ob du md5, sha1 oder sontwas bentutz ist eignetlich egal, aber es bietet dir auf jeden fall eine möglichkeit dir etwas zusammenzusetzen, was du im script dann wieder aus der datenbank zusammensetzen kannst.

mfg
robo47

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework