БезопасносTь

[CEBEP]

Я потихоньку в касестве хобби разбираюсь с вебпрограмированием и вчера дошел до той стадии когда понадобилось запаролить часть сайта... За сутки чтения я нашел решение реализованное следующим образом:

в php зашиты логин и пароль и если данные полученные из кук подходят то доступ разрешается

if($_COOKIE[$login]==$password||($_POST['name']==$login&&$_POST['pass']==$password))
{
	$login = true;
}

$login и $password определены в коде выше, $_POST['name'] и $_POST['pass'] получаюTся из формы авTоризации и проверяюTся для Tого чTобы не обновляTь страницу при добавлении кук...

Введу простоты решения напрашивается вопрос о уязвимости... Вопрос именно в этом: насколько такая форма защиты уязвима и каким образом её улучшить...

Edited September 19, 2010 by CEBEP

[stars]

Закрыть часть сайта самый лучший способ это .htaccess .htpasswd...

Насчет вашей схемы, откуда берутся куки? И вообще для случайных посетителей это наверное подойдет, более менее грамотного человека это не остановит если он будет нацелен на взлом... Опишите смысл вашей затеи более конкретно тогда возможно будет вам как то помочь...

На заметку можно усложнить вашу защиту, в куках не держать логин и пасс, а держать md5 hash от них. В пхп есть простая функция md5 (). А если еще просолить то считайте что закрылись капитально...

Edited September 18, 2010 by stars

[CEBEP]

if($_POST['name'])
	setcookie($_POST['name'],$_POST['pass'],$_POST['time']?time()+604800:'');

Это по поводу кук

суть в том что как только я перевёл сайт на MySQL понадобилась админка, пока для неё достаточно одного файла, который инклюдит форму редактирования контента если $login == true, иначе выводит форму авторизации...

Edited September 19, 2010 by CEBEP

[stars]

Эх чето я туплю с просони, в общем нормально у вас все, главное чтобы у вас куки не кто не стырил..

Ну повторюсь что лично я бы убрал всю административную часть в каталог /admin/ и закрыл бы его на доступ...

[CEBEP]

спасибо, буду стремится к этому по мере освоения, пока знаний моих не достаточно для такого решения... по поводу md5 - читал, решил что в контексте моего проекта это не актуально.

Edited September 19, 2010 by CEBEP