Umwandeln von Username in Zahlen

[hasch]

Original geschrieben von TobiaZ
Sessions

Und für meine Konstruktion, ohne Sessions?

[Wurzel]

Original geschrieben von hasch
Und für meine Konstruktion, ohne Sessions?

cookies

[hasch]

Original geschrieben von Wurzel
cookies

Ich wusste doch, dass ihr ein lustiges Board seit
OK, meine Frage anders formuliert.
Welche Möglichkeit mein Problem zu lösen gibt es ohne Sessions und Cookies?

Ich hatte mal gehört, dass Cookies selber gemacht werden können, ist es also möglich sein Cookie elber zu machen mit fremden Benutzerdaten?

[Wurzel]

mal andersrum gefragt ... sessions und cookies sind dir nicht gut genug aber einen usernamen zu zahlen zu "verschlüsseln" *hust* ist dein königsweg? ist nicht dein ernst oder.

grundsätzlich gibt es kein SICHERES system und imho sind cookies etwas schwerer zu fälschen, als sessions.

wenn du allerdings einen hochsicherheitstrakt brauchst, bau die site ssl-verschlüsselt in einem tresor auf, schliess ab und schmeiss den schlüssel weg

[hasch]

Einen Hochsicherheitstruk will ich nicht.
Was ist daran falsch, mal andere Sicherheitsmethoden auszuprobieren?

[Wurzel]

Original geschrieben von hasch
Was ist daran falsch, mal andere Sicherheitsmethoden auszuprobieren?

OffTopic:

---

@all
hat schon jemand die kamera entdeckt?

---

ich darf dich mal zitieren, ja?

Es geht um die Verschlüsselung des Usernamens als Anhang für die URL, als Ersatz für eine Session.
Der Sinn der Sache ist ja, dass man dies nicht mehr entschlüsseln kann, deshalb gibt es auch eine Zuweisung von gleichen Werten zu den verschiedenen Buchstaben.
Eine Identifikation findet dann über die IP statt.

für a steht 1, für b steht 2 usw. etc. pp. ... selbst die römer haben annodunnemal sich 45 v.Chr. mehr mühe mit einer verschlüsselung gegeben. vielleicht überdenkst du dein konzept nochmal.

btw: du weisst schon, dass aol-user wechselnde ips haben (können)?!

[hasch]

Nein wusste ich nicht, dass AOL user wechselnde IPs haben.
Glaubst du wirklich, dass ich das Ganze so verschlüsselt habe? Es ging hier um ein Beispiel, glaub mir, meine Methoide kannst du nicht entschlüsseln, weil mindestens 2 Buchstaben den gleichen Wert haben, Sonderzeichen bekommen einen bestimmten gleichen Code, also wer das entschlüsseln kann, der ist ein Gott
Dann zeig mir doch mal Sicherheitsmethoden, die schon entdeckt wurden, außer SSL, Cookie, Session!
Falsch es eine, wie von mir momentan entwickelte, Methode schon gibt, dann teile mir dies doch bitte mit.

[wahsaga]

Original geschrieben von hasch
Was ist daran falsch, mal andere Sicherheitsmethoden auszuprobieren?

die etablierten maßnahmen haben sich bewährt, und da haben sich ein paar leute gedanken drüber gemacht, die vermutlich mit etwas mehr ahnung und erfahrung als du da ran gegangen sind.

dem jetzt eine selbstgebastelte frickel™-lösung entgegenzusetzen, sollte man - wenn überhaupt - nur machen, wenn man sich wirklich auskennt und genau weiß, was man tut.

[Wurzel]

Original geschrieben von hasch
Glaubst du wirklich, dass ich das Ganze so verschlüsselt habe?

ich GLAUBE hier schon lange nichts mehr.

[hasch]

Weiß ich doch () - soweit ich es einschätzen kann finde ich, dass es sicher ist, aheb außer der oben aufgeführten Sicherheitslücke keines weiter gefunden.
Na erklär mir doch einmal, wie man erstmals eine MD5() Verschlüsselung knacken soll (möglich aber schwierig), dann meine mathematischen methoden (keine genauere erläuterung) + die umwandlung des usernamens und passwortes, wenn dort 2 Buchstaben die gleich Bedeutung haben können und alle Sonderzeichen die gleiche Zahl haben!?

[Wurzel]

Original geschrieben von hasch
Weiß ich doch () - soweit ich es einschätzen kann finde ich, dass es sicher ist, aheb außer der oben aufgeführten Sicherheitslücke keines weiter gefunden.
Na erklär mir doch einmal, wie man erstmals eine MD5() Verschlüsselung knacken soll (möglich aber schwierig), dann meine mathematischen methoden (keine genauere erläuterung) + die umwandlung des usernamens und passwortes, wenn dort 2 Buchstaben die gleich Bedeutung haben können und alle Sonderzeichen die gleiche Zahl haben!?

worüber wollen wir weiter diskutieren? du hast einen super tollen einweg-verschlüsselungs-algo gefunden, den keiner knacken kann?! gratulation. mit anderen worten, du hast md5() und anverwandte methoden quasi neu erfunden. supi. und jetzt?

btw: md5 knackt man mit rechenpower & brute force, da 2 verschiedene strings durchaus denselben hash haben können.

[hasch]

Eigentlich wollte ich nicht diskutieren.
Ich sehe mich auch nicht als toller Erfinder, weil es einfach mal sicher nicht so sicher wie aktuelle Standarts sind, ich wollte lediglich wissen, ob jemandem eine Idee einfällt, wie man meine aufgeführte Sicherheitslücke schließen kann

[wahsaga]

Original geschrieben von hasch
die umwandlung des usernamens und passwortes, wenn dort 2 Buchstaben die gleich Bedeutung haben können

das reduziert also die menge möglicher hashes schon mal um den faktor zwei.
(und wenn es nicht nur zwei buchstaben sind, die den gleichen code haben, sondern noch mehrere andere zwei oder mehr zeichen jeweils auf jeweils einen code abgebildet werden, sogar noch weiter.)

und alle Sonderzeichen die gleiche Zahl haben!?

und das reduziert die anzahl möglicher hashes um den faktor $anzahl_moeglicher_sonderzeichen.


"kollisionen" sind ein stichwort, dem du mal etwas mehr aufmerksamkeit schenken solltes.

[hasch]

Daran habe ich auch schon gedacht, solange es doch aber eine ID_Nummer gibt, die jeden User identifiziert und eindeutig zuordnet, ist es doch egal, ob 2 Passwörter gleich lauten, oder nicht?
Hier wäre es die IP, es wird in der DB nach der IP gesucht, dann wird gecheckt, ob das angehängte Passwort (Verschlüsselt) und Username (Verschlüsselt) genau so drin stehen!?
Ist das Problem deshalb weiterhin zu beachten?

[penizillin]

Original geschrieben von hasch
...eine MD5() Verschlüsselung...

*hust*

hasch: strings verdrehen ist keine kunst - jedem kind werden mehrere möglichkeiten einfallen, ein wort zu verändern, sodass es nicht direkt erkennbar ist und nur mit dem wissen über die "veränderung" entschlüsselt werden kann.

dass du eine ganz tolle gefunden hast, das zweifele ich nicht an.

aber du solltest dir genügend stoff anlesen, was der begriff "sicherheit in der webbasierter entwicklung" alles beinhält.

stringspielereien ist ein unbedeutender teil davon. des weiteren gibt es noch viele aspekte, wie die authentifizierung, die autorisierung, diverse speichermethoden sensibeler daten, sicherung der datenübertragung, verschlüsselungsbedarf im allgemeinen etc.

wie genau du die sachen jetzt verschlüsselst, ist dein bier. nur ist es doch recht egal, solange alles andere stimmt, weil sie im idealfall niemals in die falschen hände geraten.

wenn du schon blind auf technologien, wie php, (my?)sql, http vertraust, dann mach dir keinen stress und benutze cookies, sessions, md5, mcrypt, pear::encryption oder sonst noch was.