Interface sécurisé

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Interface sécurisé

azel

Salut, je développe un nouveau site web, auquel j'intègre une interface d'administration avec accés sécurisé. Seulement le problème est là, la sécurité lol. Vous pouvez entrer n'importe quel password. J'utilise les scripts proposé sur le site développez: http://bob.developpez.com/phpauth/
Le script utilise une fonction javascript pour transmettre le password crypté en md5.
Donc le problème survient lors de la transmission du password.
Le script auth.php, qui récupère le mot de passe, saisi à l'aide de la page login.php et crypté avec la fonction login.js. Seulement le mot de passe récupère ne contient rien.
Donc pour vérifier si le mot de passe correspond bien à celui contenu de la base de données ça pose quelques problèmes.

Merci de votre aide

Message édité par azel le 28-09-2005 à 21:55:26

Publicité

shakpana

des fois, j'me demande ...

mouirf ...
<offtopic>
si tu as besoin d'un niveau de sécurité tel que l'espionnage réseau est un risque pour toi (a spy on the wire) considère un investissement sur SSL au moins ...
</offtopic>
sinon l'auteur du script à peut-être la solution, car là ... et tu ne donnes pas trop d'info sur le fonctionnement ...

Message édité par shakpana le 28-09-2005 à 21:57:38

ANViL

yep...definitely ♫

Pourquoi ne pas mettre simplement un htaccess avec informations d'authentification ?

5lignes, moins de 10ko et une sécurité maximale

xtof_83

Freeride Spirit

Ouais enfin htaccess c'est pas le plus sexy niveau programmation

et puis comme dis :
ici c'est pas 3615 Réparage de script foireux...

Fait le seul, sa prend du temps, mais c'est mieux... +

azel

Citation :

et puis comme dis :
ici c'est pas 3615 Réparage de script foireux...

Quel est l'interêt d'un forum, si on ne peut pas exposer ses problèmes.

Merci pour explication mais je voudrais justement utilisé ce script. Je n'arrive pas à comprendre le problème qui survient lorsque de la transmission du mot de passe.
Je vais essayé de m'expliquer un peu mieux.

Le formulaire contient un champ caché 'md5' qui va récupèrer le pass crypté en md5. Le cryptage du pass s'effectue avant la transmission au script d'authentification.
Ce cryptage s'effectue à l'aide de la fonction javascript submit_pass():

Code :

function submit_pass()
{
pass=document.forms['log'].passwd.value;
document.forms['log'].passwd.value="";
buf=MD5(pass);
document.forms['log'].md5.value=buf;
return true;
}

Voici également le code du formulaire:

Code :

<html>
<head>
<title>Login Page</title>
<meta http-equiv='Content-Type' content='text/html; charset=iso-8859-1' />
<script language="javascript" type="text/javascript" src="login.js"></script>
</head>
<body>
<form id='log' method='post' action='templates/auth.php' onsubmit='javascript:su
bmit_pass();'>
<input type='hidden' name='md5' />
<table align='center'>
<tr><td>Login</td><td><input name='login' /></td></tr>
<tr><td>Mot de passe</td><td><input type='password' name='passwd' /></td></tr>
<tr><td colspan='2' align='center'><input type='submit' value='Login !' /></td><
/tr>
</table>
</form>
</body>

FlorentG

Unité de Masse

Y'a rien de plus naze qu'une solution en JavaScript Parce qu'il suffit de récupérer le hash md5, et de l'envoyer, ça change rien du coup [:johneh]

Nan mais ça sert vraiment à rien, je pige pas

Nan mais attendez. Attendez. Attendez. Attendez. Attendez. Attendez. Attendez. Ca sert à quoi de transmettre un hash du password ? On intercepte le paquet HTTP, on récupère le login et le hash, et pis voilà, suffit de faire une requête HTTP avec ça et on est loggé [:johneh]

Ou alors y'aurait un truc que j'ai pas capté ?

FlorentG

Unité de Masse

Et pis sont authentification qui se base sur l'IP... Y'a des aoliens qui vont pas être contents [:johneh] D'autres qui sont sur le même réseaux que l'attaqué, qui passent par NAT, seront aussi heureux d'avoir la même IP [:dawa]

azel

Vous me proposez quelle solution alors?

Je pensez que cette solution était assez bonne

FlorentG

Unité de Masse

Ben celle-là, si je ne me trompe pas, ne sécurise rien du tout [:johneh]

La seule solution, c'est SSL. C'est le seul truc fiable pour sécuriser quelque chose...

azel

De nombreuse zone admin sécurisé n'utilise pas SSL, par exemple le forum de mon site qui utilise les scripts phpBB n'utilise pas de SSL et ça reste sécurisé.

Message édité par azel le 28-09-2005 à 22:46:29

Publicité

FlorentG

Unité de Masse

Dans quel sens est-ce sécurisé ? Si tu piques l'id de session ?

azel

Sécurisé je sais, je voudrais juste quelques chose d'assez simple qui me garantise une assez bonne sécurité.
Etant novice en la matière, je me suis renseigné sur quelques sites comme developpez, et j'ai décidé d'opter pour le script que j'ai cité plus haut. Mais seulement je rencontre quelques problèmes avec ce script, problème que j'ai exposé plus haut

Message édité par azel le 28-09-2005 à 22:56:02

shakpana

des fois, j'me demande ...

Citation :

Ce système est classique en matière de sécurité sur internet. Il offre une sécurité correcte. On peut considérer que ce système est inviolable pour tout utilisateur 'normal'. Cependant, une personne expérimentée disposant de moyens d'écoute du réseau peut parvenir à passer outre cette protection. Soyez en conscients si vous protégez des données importantes.
Le point fort de ce système est la protection des mots de passe. Comme seuls les MD5 des mots de passe transitent sur le réseau, la protection des mots de passe des utilisateurs est toujours garantie, ce qui constitue un très bon point au niveau sécurité.

tss tss tss, pour résumé ce qu'il a été dit ce système N'APPORTE AUCUNE SÉCURITÉ SUPPLÉMENTAIRE !
si on peut écouter le réseau, ou tomber sur l'id de session, "you're owned !"
donc en gros ce script met un scotch sur une fuite d'eau ...
---
si c'est pas clair, il ne sert à rien ...

Message cité 1 fois
Message édité par shakpana le 28-09-2005 à 23:01:32

azel

Ok, merci shakpana pour les explications. Mais pour mon problème qui pourrait m'apporter un peu d'aide

FlorentG

Unité de Masse

shakpana a écrit :

Citation :

Nan surtout, c'est que son histoire de hash MD5 ne sert à rien...

En temps normal, on envoi login et pass. Puis le script regarde ces deux champs s'ils correspondent à des valeurs définies... Donc suffit de sniffer le réseau pour les récupérer (encore faut-il avoir accès au réseau du mec).

Là, il hash le MD5, qu'il envoi avec le login. Puis il compare ça avec des valeurs définies...

Question : Quelle est la différence entre les deux ? Aucune... Dans les deux cas, si on récupère la trame HTTP, bah on va pouvoir se connecter... Ca sert strictement, mais alors strictement à rien

azel

Ok, c'est vrai que c'est utile récupère le pass ou récupé le hash du pass revient au meme on peut se connecter. Donc vire ce script javascript et je balance au script d'authentification le pass direct

FlorentG

Unité de Masse

Exactement :jap: En plus ceux qui ont JavaScript désactivé pourront aussi se connecter

shakpana

des fois, j'me demande ...

merci :jap:

azel

merci

FORUM HardWare.fr

Programmation

HTML/CSS

Interface sécurisé

Sujets relatifs
Schema UML (class) pour creer un accès securisé ?	méthode de conception pour une interface graphique pour mon programme
choix module paiement sécurisé ??	Interface avec frames à partir de données XML
framework pour la conception d'interface utilisateur	[JAVA] Interface en mode texte
Comment gèrer plusieurs bases par une même interface	Interface graphique à partir de fichiers de ressource
Accès sécurisé: la meilleure solution?	Accès sécurisé > Besoin d'avis
Plus de sujets relatifs à : Interface sécurisé

Page générée en 0.064 secondes