[HaBo]

Novaner

Anzeige

Hey ho,
also mich hat das Programmierfieber gepackt, deshalb versuch ich mich jetzt an einem Onlinegame, gibt zwar schon genug, aber es geht ja um den spaß den man hat :-)

naja auf jeden fall wollt ich das alles relativ sicher machen, was muss ich so beachten.
hab mir gedacht, ein das PW doppelt verschlüsselt zu machen, so wäre es nich so einfach die zu kancken, weil viele user einfach mal dämliche PWs nehmen.
naja so standart sachen wie session ids und so sind ja klar. auf was sollte ich noch achten? welche möglichkeiten haben störenfriede:
- den server lahm zu legen ( is nen gemieteter)
- accs zu übernehmen(kein Pw-klau), mysqldatensätze zu verändern, bzw. daten unbrauchbar zu machen

wäre über tips von euch profis sehr dankbar

achja über "bösen code" bin ich aufgeklärt, weiß zwar noch nich genau wie ich meinen code sicher machen werde, aber ich weiß erstmal davon ;-)

LG

Phuket

Wegen den Passwörtern würde ich den Usern einfach ein automatisch generiertes 7 stelliges Passwort per Mail zukommen lassen. Das dürfen sie nicht verändern und Ruhe ist.

Sunstepper

Pass auf, dass dein Logincode sicher gegen SQL-Injections ist.
Ansonsten wären für später noch Bildercodes wichtig, damit man sich (zumindest nicht so einfach) per Script einloggen kann. Nützlich ist auch per Referer sicherzugehen dass man sich nur über die Loginseite einloggen kann.

Beim Ändern der E-Mail sollte erst eine Mail an die neuen Adresse zum Freischalten derer gehen, um sicherzustellen dass der User nichts falsches einträgt. Vielleicht solltest du auch ne Mail verschicken wenn der User das PW ändern will. Wenn jemand den Account overtaken will braucht er so schon mal Zugang zum Account und zur E-Mail-Inbox.

Das mit den nicht-veränderbaren Passwörtern halte ich für keine so gute Idee. Das werden die User wahrscheinlich auch nicht hinnehmen und besonders am Anfang solltest du versuchen ihnen das Spiel bequem zu machen.
Wenn wieder mal jemand die üblichen "abc" oder "0000" nimmt ist das seine Schuld. Sorg einfach dafür, dass kein brute force möglich ist (also nach drei falschen Logins Mail an den Accountbesitzer für neue Freischaltung).

Das ist jetzt alles was mir spontan eingefallen ist... schon ne Weile her.

Novaner

jo auf jeden fall erstmal ne gute idee, festzulegen dass das PW 8 stellig sein muss und Zahlen enthalten muss. Und mit 3 versuche is nich schlecht.... allerdings könnten so andere den acc versuchen lahmzulegen, allerdings kan nder besitzer dann einfach LoginID ändern, klingt logisch.

und der schutz gegen SQL-Injections dürfte da schon etwas schwieriger sein, ich meine wenn mans geschickt anstellt kann man doch quasi überall code einschleusen

Elderan

Hallo,
also "doppelt" Verschlüsseln bringt gar nichts.

Denn wenn ein Angreifer die PW's hasht, dann hasht sein Brute Force Progamm die PW's auch doppelt und testet sie dann erst.

Was sinnvol wäre, wäre evt. die PW's erst zu Hashen, und dann nochmal per AES o.ä. verschlüsselt Speichern.
So müssten die erst den Key für AES herrausbekommen und dann die PW's "enthashen".

Am besten den Login per SSL laufen lassen und die Typischen Sicherheitslücken nicht vergessen (Get Variablen immer vorher überprüfen ob er darauf Zugriff hat).

Novaner

hm ich glaub nich dass ich SSL irgendwie da bekommen kann, sowas muss man doch zusätzlich buchen, oder wie läuft das ab?

und wegen dem doppelt codieren - j oso hatte ichs mir gedacht, woltle es erst verschlüsseln mit einem zufallspasswort(also für alle gleich) und dann per md5(), da md5 quasi nur durch Listen knackbar is, wird dem das nich helfen wenn ein kodierter String noch mal mit md5 kodiert wird.... ich glaube das wäre es tausendmal leichter anderswie an die daten zu kommen...

Phuket

schlechtere Brute Force kann man auch einfach mit Bild Sicherheitscodes überwinden. Man muss den Code vom Bild eintippen. Würde auch das Problem mit Skripten verringern.

Elderan

Hallo,
@Novaner: Kannst du das nochmal verständlich schreiben??

Also du Verschlüsselst es erst per AES etc, und dann hasht du es per MD5 und speicherst es, stimmt?
Gut würde jetzt jemand Zugriff auf die DB bekommen, wäre es nur schwer möglich an die PW's zu gelangen, aber wenn er zurgiff auf die Dateien hat, wo auch der Key gespeichert werden muss, ist das Verfahren wirkungslos.

Außerdem bringt das doppelt "Verschlüsseln" auch nichts gegen Lauschern. Also muss du einen SSl Login anbieten, falls die Lauscher außen vor bleiben sollen.