Alles auf Homeserver:
Sind 10MB Up, 2GB RAM etc. für die erwartete Last genug?
Wenn nicht, den Webserver als Hauptkraft behalten und
den Homeserver eben für die geplante Spezialunterstützung.
Live HTTP Header: Was meinst du damit?
Web-PHP baut Verbindung zu Home-PHP auf:
Genau, das merkt der User nicht. Das ist doch der Sinn davon, oder?
Wie auch immer, hier etwas, was ich zur Verbindungssicherheit
zwischen Webserver und Homeserver geschrieben habe
(ist eigentlich Ergänzung des oberen Posts):
-------------
Also, Verbindung absichern.
Wie viel Schutzbedarf haben deine Daten?
Oder anders: Wie viel Schaden kann entstehen, wenn sie ein Unberechtigter bekommt?
Vorneweg: Es gibt natürlich die Möglichkeit, https zu verwenden.
So ein Zertifikat ist aber je nach Schutzstufe nicht gerade billig.
Da beide Seiten von dir kontrolliert werden (Online-PHP und dein Homeserver)
kann man eine vergleichbare Sicherheit aber auch selbst erzeugen.
Ist zwar etwas Bastelei mit PHP, kostet aber nichts.
Für Server-zu-Benutzerbrowser ist das ungeeignet (da der Browser mit irgendwelchen eigenen Verschlüsselungen nichts anfangen kann und das standardisierte https will).
Aber zwischen PHP-Dateien, die beide von dir geschrieben sind...
Schritt 1: Verschlüsselung selber
Nun...das dürfte relativ klar sein.
A verschlüsselt, sendet. B empfängt und entschlüsselt.
Als Algorithmusss...zB. Rijndael.
Was aber
nicht gemacht wird: A sendet den Schlüssel mit zu B,
damit der auch wieder entschlüsseln kann.
Wenn wer die gesamten Daten abfängt, hat er den Schlüssel dabei; damit wäre alles wieder angreifbar.
Stattdessen: Nun, du hast beide PHP-Dateien in der Hand.
Generier einen guten Schlüssel und schreib ihn
fix in beide Dateien.
Die PHPs sind vom Client ja nicht einsehbar, und der Schlüssel muss nicht mitübertragen werden.
Keine Chance, abgefangene Daten zu entschlüsseln.
Um noch sicherer zu gehen, kann man den Schlüssel ja zB. jedes Monat einmal ändern.
Die (vergleichsweise) günstigen Varianten von https haben
das Risiko mit dem Schlüssel-übertragen übrigens auch.
Also bist du jetzt schon besser dran, und kostenlos
...
Ein weiteres Problem gibt es allerdings noch.
Angenommen, A schickt B verschlüsselt den Befehl: Lösch den Benutzer ID 47 aus der DB.
Gut. Und jetzt liest jemand die Daten auf der Leitung mit (lasst sie aber beim Ziel ankommen).
Er kann die Nachricht nicht entschlüsseln hat sie aber immerhin einmal.
Jetzt vergeht einige Zeit, inzwischen gibt es einen neuen Benutzer mit ID 47.
Wenn jetzt der Angreifer die verschlüsselte Lösch-47 Nachricht von seinem Computer aus
zum Server sendet (ohne sie jemals entschlüsselt zu haben), löscht der Server den 47 wieder.
Man muss also sicherstellen, das der Befehl wirklich vom richtigen Absender kommt.
Das wird etwas komplexer als die Rijndael-Verschlüsselung (die ja nicht viel PHP-Code braucht)
...Glaubst du, dass deine Daten diesen Schutz auch noch benötigen?
Dann würde ich noch was weiter schreiben....
