Sicheres Login: Wie?

[nchristoph]

Hallo

Ich bin gerade am werkeln bei meiner Page und zwar genauer gesagt am Loginscript.

Jetzt stelle ich mir die Frage: Wie mache ich ein Sicheres Login? Sind Sessions oder Cookies die richtige Wahl, Soll ich das ganze OOP mässig aufbauen?

Gibt es überhaupt eine richtige Lösung dafür?

 

[Gumbo]

Von der Sicherheit her rate ich dir zu einer HTTP-Digest-Authentifizierung oder sitzungsbasierte Authentifizierung mit Cookie jeweils über SSL. Der Rest ist eigentlich nicht zu empfehlen, solltest du die Authentifizierung wirklich sicher haben wollen.

 

[nchristoph]

Danke für die Antwort Gumbo, aber setzt das nicht den Apache voraus?

 

[Gumbo]

Nein. Den HTTP-Digest-Mechanismus kannst du mit jeder Programmiersprache implementieren. Der Apache hat nur Module, die dies vereinfachen.

 

[nchristoph]

Ok danke für den Link, der ist sehr interessant allerdings übersteigt er mein können punkto PHP bei weitem. An so eine art des Logins werd ich denken wenn ich mehr drauf habe.

Gibt es eine einfachere art um ein Sicheres Login script zu machen?

 

[Gumbo]

Schau dir mal die in PHP implementiert HTTP-Digest-Authentifizierung an, die ist für dich vermutlich verständlicher.

 

[nchristoph]

Ist zwar verständlicher aber checken tu ich das ganze trotzdem nicht.

Was ist abgesehen vom HTTP-Digest-Mechanismus noch sicher/einfach?

 

[Gumbo]

Ich habe doch zwei Alternativen genannt.

 

[nchristoph]

Sry Gumbo hab ich überlesen.

Hab nach durchlesen einiger Tutorials versucht mir selber was zusammen zuzimmern.

Hier mal meine Checklogin Funktion.

Bin mir allerdings nicht sicher ob das hier vom Sinn her richtig ist.

function checklogin($user,$pass)
{
$sql="SELECT
			user,
			password
		FROM
			users
		WHERE
			user = ".$user." AND password = MD5(".$pass.");";
			
		$result = mysql_query($sql) OR die(mysql_error());
        $row = mysql_fetch_assoc($result);
		mysql_free_result($result);
}

 

[Gumbo]

Die eigentliche Verifizierung der gelieferten Daten sollte das kleinere Übel sein. Der Ansatz ist in Ordnung, die Implementierung hingegen nicht.