nicht angemeldet
hi,
Der einzige Angriffspunkt ist imo der Moment des Einloggens, wenn
das Passwort per Klarnamen an das Skript geschickt wird.genau,aber wer hat schon einen server und snifft die passabfragen?
es dürfte im www in den seltensten fällen eine direkte verbindung zwischen client und server bestehen.
das mein ich auch,eine zwischenstation(sniff-server) zum eigentlichen ziel-server
Die einzige Möglichkeit wäre hier SSL, oder?
ja ,nützt aber nichts denk ich,weil der browser ja bei jedem request klartext schickt,es sei denn der geschützte bereich ist
auch auf ssl basis.es reicht doch, wenn die anmeldung SSL-gesichert erfolgt.
danach kann man den user ja ggf. über andere mechnismen (bspw. sessions) identifizieren.
(so lange es sich nicht um äußerst sensible bereiche handelt.)
was ist wenn man an die session(oder den link) z.B. herankommt?
Gruss
Alain