Datenübertragung zu PHP script signieren?

**TobiaZ** · 07.10.2008, 23:22

PHP kann auch verschlüsseln.

**StefanKittel** · 07.10.2008, 23:24

Original geschrieben von TobiaZ
PHP kann auch verschlüsseln.

Das würde nur sinn machen, wenn ich die Identität des Servers feststellen könnte. SSL oder ähnliches steht mir aber nicht zur Verfügung.
Wie aufwendig ist puclic/secret key mit PHP?

**TobiaZ** · 07.10.2008, 23:27

Das würde nur sinn machen, wenn ich die Identität des Servers feststellen könnte. SSL oder ähnliches steht mir aber nicht zur Verfügung.

Warum? Muss ja nicht gleich SSL sein.

Client sendet verschlüsselte Anfrage, Server entschlüsselt und antwortet auch verschlüsselt, Client entschlüsselt diese wiederum und entscheidet ob gültig oder nicht.

Musst mal gucken, was 1&1 dir da bietet.

ansonsten kannst du natürlich auch einfach die Anfrage hashen. Und die Checksumme mitschicken. Der Server antwortet genauso.

Der Algorithmus ist nur dem Server und der Software bekannt.

**StefanKittel** · 07.10.2008, 23:55

Original geschrieben von TobiaZ
Warum? Muss ja nicht gleich SSL sein.
Client sendet verschlüsselte Anfrage, Server entschlüsselt und antwortet auch verschlüsselt, Client entschlüsselt diese wiederum und entscheidet ob gültig oder nicht.

Hast Du da mal Infos zu oder einen Link?

Original geschrieben von TobiaZ
ansonsten kannst du natürlich auch einfach die Anfrage hashen. Und die Checksumme mitschicken. Der Server antwortet genauso.
Der Algorithmus ist nur dem Server und der Software bekannt.

Das wäre ja das mit der MD5 wie mir das im Augenblick vorschwebt

**TobiaZ** · 08.10.2008, 00:48

Hast Du da mal Infos zu oder einen Link?

mcrypt fällt mir so spontan ein, ist aber schon Jahre her, dass ich mich da PHP-Seitig mit beschäftigt habe...

Das wäre ja das mit der MD5 wie mir das im Augenblick vorschwebt

Mal davon abgesehen, dass der MD5 Algorithmus relativ bekannt ist, der Hash sogar nem ungeübten Nutzer ins Auge springt und deine Checksumme somit jederzeit erzeugt werden kann...

**StefanKittel** · 08.10.2008, 01:33

Original geschrieben von TobiaZ
Mal davon abgesehen, dass der MD5 Algorithmus relativ bekannt ist, der Hash sogar nem ungeübten Nutzer ins Auge springt und deine Checksumme somit jederzeit erzeugt werden kann...

Aber nur wenn er den String kennt den ich davor und dahinter klebe
Der Server macht aus ("DIESIST" + Licence + ID "GEHEIM") die MD5 und liefert Sie zurück. so kann ich sicherstellen dass der server richtig ist.

**TobiaZ** · 08.10.2008, 11:11

Somit ist dein Algorithmus aber nicht mehr MD5 sondern ein neu von dir definierter Algorithmus, also genau das, was ich beschrieben habe!

**Piremilok** · 08.10.2008, 12:09

Hey,

was wäre denn mit der Möglichkeit die Seriennummer zurück zuschicken?
Mich würde es stören, wenn ein Programm, welches ins Internet connecten muss jedesmal noch gleich eine andere Abfrage mit ausführt.

Lass doch die Überprüfung der Seriennummer und die Laufzeit im Programm selbst drinn.

Aktivieren muss man es übers Internet, wenn der Name und der Key richtig sind, dann wird eine interne Seriennummer zurückgeschickt, die die Software freischaltet.
In diese Seriennummer kannst du dann ja noch einmal den Namen, die Laufzeit oder sonstiges reinschreiben.
Und jedesmal, wenn die Seriennummer ungültig wird, connected er erneut zu deinem Server und wenn die Lizenz noch gültig ist, bekommt er eine neue Seriennummer.

Den Key könntest du auch als "externe" Seriennummer ausweisen, also das Passwort, das der Benutzer erhält.

Aber denk daran, wie viel du den Benutzern zumuten darfst ;-)

Soweit meine Überlegungen...

gruß
Piremilok

**unset** · 08.10.2008, 15:07

Du hast das ganze in Ansätzen bereits beschrieben, aber der Vollständigkeit und Information halber hier nochmal die korrekte technische Bezeichnung inklusive möglicher Angriffsvektoren: http://de.wikipedia.org/wiki/Challen...hentifizierung

**Piremilok** · 10.10.2008, 08:50

sehr interessanter beitrag.
vielen dank dafür.

gruß
Piremilok

Datenübertragung zu PHP script signieren?