asp und openssl (Oder anderer sicherer Weg Variablen auszutauschen?)

[jens876]

Hallo,

ich muß aus einem geschlossenen Benutzerbereich ASP Seiten aufrufen, auf die nur Benutzer Zugriff haben sollen, die sich im geschlossenen Bereich angemeldet haben.

Der Benutzer meldet sich im geschlossenen Bereich an (PHP). Jetzt soll er eine ASP-Seite aufrufen können, die ihm als Link angeboten wird.

Die ASP-Seite soll prüfen, ob der Benutzer überhaupt autentifiziert ist. Dazu möchte ich aus PHP Variablen übergeben. Übergebe ich diese mit GET oder POST, sind die für jedermann einsehbar.

Mir wurde jetzt der Tipp gegeben die Variablen mit GET zu übergeben, aber mit einem OpenSSL Schlüssel zu verschlüsseln und ggf. zu signieren. Nur, gibt es entsprechende Funktionen in ASP um die Signatur zu prüfen und die Verschlüsselten Werte mit einem Private-Key zu entschlüsseln?

Welche andere Wege sind zu empfehlen?

Danke für die Tipps.

Gruß, Jens.

[onemorenerd]

Ich weiß zwar nicht, warum eine ASP-Seite die Authentifizierung prüfen soll und du das nicht direkt mit PHP machst, aber soviel steht fest: Wenn du einen https-Request sendest, übernimmt der https-Webserver, der die ASP-Seite ausliefert die Entschlüsselung.

[jens876]

Hi,

vielleicht habe ich mich falsch ausgedrückt.

Nur ein in PHP autentifizierter Benutzer soll von der ASP-Seite akzeptiert werden. D. h. die ASP Seite soll von der PHP-Seite nur den Hinweis erhalten 'Ist eingeloggt' und ggf. noch andere Informationen. Und dann funktionieren. Kommt dieser Hinweis nicht (weil die asp Seite direkt aufgerufen wurde) soll sie die Arbeit ablehnen.

Es handelt sich um einen http, nicht um einen https Server.

Gruß, Jens.

[wahsaga]

Dann würde ich die Daten mit einer Prüfsumme übergeben.
Fragt sich nur, ob du dann nicht langsam das Limit von GET sprengst (AFAIK browserabhängig).

[jens876]

Hi,

danke für deine Antwort.

Die Hinweismail, dass eine Antwort vorliegt, ist irgendwie untergegangen. Daher antworte ich erst jetzt.

Dann müßte ich ein eigenes Prüfsummenverfahren ausdenken. md5sum z. B. könnte sich jeder denken und so die URL fälschen. Daher der Gedanke mit OpenSSL.

Die Frage ist halt nur, ob die ASP-Seiten dies dann prüfen können?

Gruß, Jens.

[wahsaga]

Original geschrieben von jens876
Dann müßte ich ein eigenes Prüfsummenverfahren ausdenken. md5sum z. B. könnte sich jeder denken und so die URL fälschen.

Nicht, wenn du einen Bestandteil mit aufnimmst, der nur dir bzw. deinen serverseitigen Scripten bekannt ist.

md5("a=5&b=blubb"+$geheimer_string)

[asp2php]

kommunizieren die beiden Server über LAN, oder sie stehen zwar in der DMZ, können aber miteinander über interne IP kommunizieren, wenn ja ist doch einfach, alles was nicht von der IP des Servers mit PHP-Site kommt, blocken, da brauchst du nichts.