Passwort-Schutz - ASCII-Erhöhung ? Shifting ?

[Stoertebeker]

Moinsen,
ich weiß, ich spreche nochmal ein vielbesprochenes Thema an, aber
mit einer (vielleicht ?) neuen Komponente:

Zwei bekannte, aber mittelmäßige Varianten:
a) if PWD == "Passwort" ist absoluter Schrott!
b) location.href = PWD + ".htm" finde ich auch nicht so toll
c) Was haltet ihr von der folgenden Idee:
Es existiert bereits ein Benutzername (z.B. wzrm59 oder sowas)
Dann wird jedes Zeichen des Namens in ASCII-Code gewandelt und
um drei erhöht und diese Erhöhung der ASCII-Zahl zurück in einen
Buchstaben verwandelt (also a = 97, dann +3 = 100 und 100 zurück
in ASCII =d)...
Einlogg-Vorgang: Der Benutzer gibt den Namen und sein Passwort
ein und das Script prüft, ob das eingegebene Passwort
a) umgewandelt in ASCII, b) minus 3 und c) wieder zurückgewandelt
in einen Buchstaben gleich dem Benutzernamen ist...

Haltet ihr das für zu durchschaubar ?
Und fast noch wichtiger: Wie geht die Wandlung von Buchstaben
in ASCII-Code mit JS ? escape() und unescape() können doch nur
Sonderzeichen wandeln, oder ?

Danke für viele Antworten.
Gruß von Stoertebeker

[Tim Tepaße]

Hallo Klaus [1],

Einlogg-Vorgang: Der Benutzer gibt den Namen und sein Passwort
ein und das Script prüft, ob das eingegebene Passwort
a) umgewandelt in ASCII, b) minus 3 und c) wieder zurückgewandelt
in einen Buchstaben gleich dem Benutzernamen ist...

So leid es mir tut, Du hast da leider zwei entscheidene Denkfehler in Deinen
Überlegungen.

Der erste Denkfehler ist, daß Du den Algorithmus gleich mitlieferst. Jeder
halbwegs aufgeweckte kann in den Quellcode schauen und sehen, daß Du einen
Vergleich zwischen 'Name+3' und 'pass' machst. Also muß man nur noch zwei
Zeichenkombinationen kodieren, die diese Bedingung erfüllen.

Der zweite Denkfehler ist, daß Du bei eine kryptische Verschlüsselung
angedacht hast, aber nicht weitergedacht hast. Angenommen das Script
hat nun durch eine wie auch immer geartete Überprüfung festgestellt,
daß der Benutzer Zugangsrechte hat. Dann muß das Script ihn aber immer
noch auf die "geschützte" Seite weiterleiten. Und wo soll wohl das Ziel
stehen, wenn nicht im Quelltext? Und dort kann das jeder lesen.

Das ist die Krux bei Versuchen, einen Passwortschutz mit Javascript zu
gestalten. Man liefert immer etwas mit, entweder nur den Algorithmus oder
aber auch gleich den Algorithmus und den Schlüssel. Sicherer ist es, den
Passwortschutz serverseitig und nicht clientseitig zu gestalten. Und da
gibt es bewährte Möglichkeiten, von irgendwelchen CGI-Skripten bis hin
zur htaccess [2].

[1] Klaus Störtebecker, nehme ich mal an. ;-)
[2] http://aktuell.de.selfhtml.org/artikel/server/htaccess/index.htm

• Tim

[Armin G.]

Tach auch,

[1] Klaus Störtebecker, nehme ich mal an. ;-)

Wenn dann ohne c: http://www.stoertebeker-bremen.de/Fortsetzung1.htm

Gruss,
Armin