nicht angemeldet
Hi Christoph!
Bei komplexen Programmen ist es möglich, das durch Hinzufügung weiterer Teile das das ehemals positiv Getestete im Zusammenhang nicht mehr funktioniert.
Das weiß ich auch aus eigener Erfahrung!
Wenn Du Teile testen willst, mußt Du das auch gleich von vornherein beachten. Einfach nur ein paar Zeilen schreiben und dann ausprobieren funktioniert nicht, damit kanst Du ganz schön auf die Schnauze fallen.
bin ich schon, und auch schon bei SSL, trotzdem implementiere ich das lieber nach und nach, auch da der SSL Server so nervig langsam ist...
Was ist denn besser? Der von mir verwendete Code mit Microtime als srand() ist das zufälligste was PHP erzeugen kann, wenn ich den Kommentaren im Manual glauben schenken darf! Was soll ich denn statt dessen verwenden?
Ein ordentliches Login.
Naja, wenn ich ne extra UserID im Link habe, habe ich ja denselben Effekt. Aber es soll wohl doch ein Extra Login vergeben werden, einmal, und dann brauche ich die ID ja gar nicht mehr, aber interessant ist das schon, denn wenn ich eine Variante ohne Login mache dann sollte die ID schon gut sein!
Ein ordentliches Login über SSL ist genauso sicher und vor allem problemloser. Das Letztere heißt natürlich auch, das die Fehlerwahrscheinlichkeit im Code sinkt. Somit ist ein derartiges Login sogar sicherer.
SSL kommt sowieso in den Link, ob Login oder nicht.
Ja, und das max. was ich bis jetzt an Parallelen "Angriffen" hinbekommen habe war unter 100 Requests pro Sekunde!
Das ist aber sehr mager. Kleine Hardware?
Hatten wir hier mal kürtzlich probiert, mit Philipp Hasenfratz, erst bei seinem Server, von ich glaub es waren 4 verschiedenen Maschinen aus, (auch von der eigenen), halt so viele Zugriffe auf ein einfaches PERL-Script wie möglich. Man konnt schön sehen das es eine Magische Grenze gab, die man sowohl mit 2 als auch mit 4 Rechnern nicht überschreiten konnte, daher würden 10.000 Rechner nichts bringen, udn ja, wie hatten auch fork... verwendet und die Scripte mehrmals gestartet... alles hat nichts gebracht! Ich glaube es waren gut 70 Requestst in der Spitze. Und er Server ist wirklich schnell gut angebunden gewesen, mein Rechner zu Hause über DSL hatte gerade mal 10 Requests geschafft! Und die Größenordnung hat andere auch nicht überrascht!
Das verstehe ich nicht, was ist an den zwei Parametern (username/passwort) zuviel? Wenn Du die Loginversuche mitzählst hast Du noch einen Integer zum behalten, aber _das_ dürfte doch kein Problem darstellen, oder?
Versuche nicht das Rad neu zu erfinden, nimm das was schon da ist. Das ist bewährt und bekannt und läuft stabil.
Jajaja, ich wollte nur kein login, brauch eich ja auch nicht mit der UserID, aber da ich es wahrscheinlich eh so machen soll, hat es sich erledigt, wobei die Kombination USerID und merkbares Passwort schon ein unterschied ist zu der 128-Bit ID => Login ist unsicherer!
Da bist Du aber juristisch auf der sicheren Seite.
Aber selbst da gilt, ich muß es erwähnen: "Auf hoher See und vor Gericht bist Du in Gottes Hand"
Denn Spruch kenn ich doch irgendwoher?
;-)
Aber das ist die kleinste Sorge die ich hier habe!
und wenn man hier mit solchen Maßstäben mißt muss man das überall tun.
Was spricht dagegen, es überall zu tun?
Würdest Du wenn Du so ein kleines Tool programmieren sollst das gesamte Sicherheitskonzept des Aufraggebers in Frage stellen? Klar, ein Hinweis ist wohl angebracht, aber damit ist es ja nicht getan! Das Probelm ist das die Geschäftspartene noch viel schwerer davon zu überzeugen sind, vor allem kann man das nicht mal eben implementieren, da bedarf es Know How wie das zu implementieren ist, und kostspielige Schulungen...
» Wenn im Sicherheitskonzept das verschlüsseln von Mails nicht vorkommt kann man es vergessen. Außerdem schätze ich die Gefahr des abfangens von Emails nicht als wirklich groß ein - ja - sicher gibt es diese Gefahr, aber das ist doch nun mal wirklich nicht ganz so einfach als sich mit einem Brute-Force Tool einer Session zu bemächtigen.
Es ist bedeutend einfacher, glaub's mir. Die ganzen Scriptkiddies sind lästig, aber nicht unbedingt gefährlich. Die gefährlichen Leute verfügen über besser Möglichkeiten und vor allem Sachverstand.
Ja, schätz mal bitte wieviele Leute dafür hier in Deutschland in Frage kommen - ein paar 1000 wenn Du mich fragst, und die werden meist andere Probleme haben als solche Mails abzufragen, die höchstens der Konkurrenz was bringen!
Grüße
Andreas
Christoph Zurnieden