Secret Key bei Usereingaben

[OneWayUserAcci]

Hallo,
Habe mal ne Frage, wie kann ich Secret Keys so generieren, dass sie nur für eine Aktion gültig sind? Eine Lösung wäre natürlich eine Verschlüsselung, aber ich würde diese dann doch lieber hashen wollen. Eine weitere was ich mir überlegt habe, man teilt dem User z.B. 100 Keys zu und prüft dann ob der übergeben Key gültig ist, nach erfolreicher Benutzung wird dieser dann entfernt und ein neuer zugeteilt. Der Nachteil is halt, die Keys sind schon im vorhinein bekannt, da Sie irgendwo abgespeichert werden. Als dritter Weg is mir noch eingefallen, beim Aufruf von z.B. einem Formular wird der Key gebunden, an die jeweilige URL des Formulars und an die URL des Aufrufes. Würde mich mal interessieren wie Ihr sowas löst bzw. welche Tipps Ihr mir diesbezüglich geben könnt.

[lennart]

Eine ausreichende Zufallszahl generieren, diese meinetwegen datenbankgestützt an die Aktion binden und dann bei der Aktion wieder übermitteln und gegenprüfen.

[wahsaga]

Re: Secret Key bei Usereingaben

Original geschrieben von OneWayUserAcci
Eine weitere was ich mir überlegt habe, man teilt dem User z.B. 100 Keys zu und prüft dann ob der übergeben Key gültig ist, nach erfolreicher Benutzung wird dieser dann entfernt und ein neuer zugeteilt. Der Nachteil is halt, die Keys sind schon im vorhinein bekannt, da Sie irgendwo abgespeichert werden.

So arbeiten einige gaengige TAN-Verfahren, wie man das auch vom Online-Banking kennt.

Und was genau soll daran jetzt der Nachteil sein?