nicht angemeldet
- Ein Login wird (so er denn über mehrere Seiten gehen soll) mittels einer Session realisiert. Die Begriffe bezeichnen also im Endeffekt das Gleiche.
Nein. Ich kann einen Login auch mittels .htaccess machen,
Richtig. Hier ging's nur die ganze Zeit um Sessions, daher hatte ich diese Möglichkeit übersehen. Und sie lässt sich wahrscheinlich auch nur schwer mit dem geplanten System und der vorhandenen Software in Einklang bringen.
Um die allgemeine Sicherheit der auf dem Benutzerrechner gespeicherten Daten muß und kann sich nur der Benutzer kümmern.
Nein - meiner Ansicht nach habe ich als Programmierer dafür Sorge zu tragen, daß die Daten des Nutzers geschützt sind.
Ich dachte eher an den allgemeinen Zustand des Rechners, den möglichen Benutzerkreis. Sicherlich sollte man Daten, die in die Welt hinausgeschickt werden, verschlüsseln - oder besser gar nicht erst herausgeben.
Von daher sollte ein dauerhafter Login nur als Option zur Verfügung stehen, die eine schnelle Überprüfung, also lesenden Zugriff, von Daten erlaubt. Jedwede Änderung an den Daten, also schreibender Zugriff, muß immer eine zeitlich nahe Authentifizierung (also wiederum den vorübergehenden Login) erfordern. Diese Vorgehensweise ist sicher jedem von eBay bekannt.
In den meisten Fällen wäre das aber mit Kanonen auf Spatzen geschossen.
Diese Aussage steht in krassem Gegensatz zu Deiner Aussage von oben, daß der Programmierer dafür Sorge zu tragen hat, die Daten des Benutzers zu schützen. Was nützen Dir verschlüsselte Daten an einer Stelle, die eh nur Fortgeschrittene finden, wenn schon jeder Hans Wurst mit dem Rechner Schindluder treiben kann, weil der schreibende Zugriff auch nach Wochen noch ohne weitere Authentifizierung möglich ist? Du verrammelst die Fenster zum Garten mit Hochsicherheitsbeschlägen und planst als Haustür nur einen Fliegenvorhang ein.
Überhaupt: Was ist so umständlich daran, sich je schreibender Sitzung einmal mit dem Passwort anzumelden? Passwörter sind schließlich dazu da, benutzt zu werden.