Bezpecnost stranky

zaciatocnik · Napísal **zaciatocnik**: 12.08.2013 11:41

Nazdarek. Hned na uvod sa ospravedlnujem ak som zvolil nespravnu sekciu. Mal by som 2 otazocky ohladom bezpecnosti (kodovania) stranky.

1. Pri tvorbe stranky pouzivam u registrovanych uzivatelov tzv. userID (uzivatelske ID) - teda nejaku cis. hodnotu pod ktorou je uzivatel registrovany a ulozeny v tabulkach databazy. Nasledne toto uzivatelske ID pouzivam napr. pri zobrazeni profilu uzivatela, vybere prispevkov, komentarov, fotiek atd. Cize toto uzivatleske ID sa zobrazuje v URL alebo aj napr. v JS funkciach. No nedavno som cital clanok, kde niekto pisal, ze je uplna hlupost ak je uzivatelske ID takto zobrazovane(viditelne). Preto sa chcem opytat, ci z hladiska bezpecnosti je to naozaj "nevhodny" spôsob ak v mojom pripade toto uzivatelske ID v ziadnej tabulke nema nastavenu hodnotu PRIMARY ani AUTO_INCREMENT.

2. Nedavno sa mi po nacitani mojej stranky (prehliadac FIREFOX) zacala zobrazovat hlaska: Toto pripojenie nie je dôveryhodné Preto by som sa chcel opytat, akym spôsobom, resp. co presne by malo byt obsiahnute v kode aby prehliadac vyhodnotil moju stranku ako dôveryhodnu, teda aby pripojenie na moju stranku bolo zabezpecene.
Privitam kazdu radu alebo link k tymto otazockam..Dakujem.

DeiForm · Napísal **DeiForm**: 12.08.2013 13:57

ked je uzivatel prihlaseny na upravu a zobrazenie jeho vlastneho rpofilu mozes toto id ulozit do session. Na zobrazovanie ostatnych uzivatelov mozes pouzit toto id v url: profile.php?userid=ID v php toto mozes osetrit takto:

Kód:

 if (isset($_GET['userid']) && is_numeric($_GET['userid'])) return true; // ak by nebolo ciselne mozes uzivatela presmerovat niekde 

2. myslim ze toto sa zobrazuje ak pouzivas SSL certifikat, ktory sa nezhoduje s domenou alebo je neplatny

zaciatocnik · Napísal autor témy **zaciatocnik**: 12.08.2013 15:07

Este by som chcel doplnit, ze to uzivatelske ID nie je nahodne vygenerovany kluc a teda nemeni sa pri kazdom prihlaseni sa na stranku. Lebo som si vsimol, ze na niektorych domenach je po kazdom prihlaseni pre uzivatela vygenerovany nejaky "kluc", ktory je nasledne zobrazovany v URL alebo v JS funkciach. Preto ma zaujima ci prave priame zobrazovanie ID uzivatela nezvysuje riziko "hacknutia" stranky resp. uctu uzivatela.

K odpovedi na moju druhu otazku. Ja SSL certifikat nepouzivam, tak teraz celkom tomu nerozumiem.

DeiForm · Napísal **DeiForm**: 12.08.2013 19:43

1. - ak tam budes mat is_numeric ochranu tak by sa to nemalo dat hacknut kedze php ta pusti dalej v scripte len ak je hodnota v $_GET ciselna.
- mozes si to id encryptovat napriklad cez base64 a potom zistovat ci je tento encryptovany string validny base64 a ci je decryptovana hodnota ciselna:

Kód:

$uid = 10;
$encode = base64_encode($uid);

function valid_base64($str)
   {
      if(base64_decode($str, true) && is_numeric(base64_decode($str)))
      {
          return true;
      }   else
      {
          return false;
      }
   }
   
var_dump(valid_base64($encode));

2. Ak to mas nahodene na nete tak posli odkaz, neviem co by to mohlo sposobovat

peryglux · Napísal **peryglux**: 24.08.2013 17:26

Preco by malo byt nebezpecne davat user_id do URLky ? Tym ze je v URL to IDecko pouzivatela maximalne moze niekto zistit ze user s takym ID existuje, nemoze ale zistit o nom ziadne udaje ani jeho heslo ani nic podobne. Ja by som sa skor zameral na dostatocne zabezpecenie session a cookies. A okrem toho ako ste pisali o tej funkcii is_numeric(), podla mna je lepsia funkcia is_int() resp takyto kod ...

Kód:

$user_id = 123; // toto sa ziska napr. z databazy
$user_id_is_valid = ((string)(int)$user_id == ((string)$user_id));

Ak by ste pouzili is_numeric() alebo is_int() tak ...

Kód:

$user_id = "123"; // string
is_int($user_id) // FALSE !!!

... ale ...

Kód:

$user_id = "123"; // string
$user_id_is_valid = ((string)(int)$user_id == ((string)$user_id)); // TRUE !

Zalezi od situacie, ak je na 100% iste ze $user_id je cislo tak by som pouzil is_int().

shaggy · Napísal **shaggy**: 24.08.2013 22:04

peryglux - najprv napíšeš, že predávanie user_id v URL je ok a potom mu dáš príklad, ktorý mu fungovať nebude (ten druhý kód).
Ak by to id totiž vyťahoval z URL (napr. cez $_GET['user_id']), tak to bude vždy string a tým pádom is_int bude false (aj keď to z pohľadu db bude v poriadku).

Bezpecnost stranky

Podobné témy