(relativ) sicheres Login

[p-flash]

Hi,

kennt jemand ein tut oder kann mir Tipps geben, wie ich ein sicheres Login mit Flash proggen kann? Bzw. generell bei der Kommunikation zwischen php und flash. Das Problem ist z.B. dass mit LoadVars.sendAndLoad() eine Antwort von php mit Hilfe von echo an Flash gesendet wird. Das heißt beim Login z.B. echo "ok" bzw. echo "failed". In Flash muss das ja abgefragt werden. if (login == "ok")... usw.

Ein Blick in die swf und Sache ist gegessen. D.h. ja dass das Password eigentlich egal ist. Man muss nur dafür sorgen, dass flash ein "ok" zurück bekommt.



p-flash

[elysian]

Xervus,

also solange der Kommunkkationskanal http bleibt, passiert sämtliche Übertragung grundsätzlich unverschlüsselt und somit unsicher. Sicher wird's erst mit SSL, sprich einer https-Verbindung.

Cheers, Thomas.

[messingfeld]

@elysian
Das war glaube ich garnicht die Frage.

@p-flash
Irgendwie verstehe ich nicht was du machen willst.

Welchen Sinn hat es das ein serverseitiges LogIn-Skript NUR "ok" oder "failed" zurück gibt?
Was willst du in Flash NUR mit der Aussage "ok" bzw. "failed" machen?

Ich hoffe wohl doch nicht das du soetwas machen willst:

if(login=="ok") {
    // lade irgendeine Datei, die eigentlich geheim ist
    // springe zu einem Schlüsselbild, das eigentlich geheim ist
} 

Da bringt dir ein LogIn nichts, die SWF kann man, wie du bereits andeutest, KOMPLETT auseinander nehmen.

Was du, wie ich es aus der Ferne beurteilen kann, machen müsstest ist, bei jeder serverseitigen Abfrage, die LogIn - Daten (Username + Passwort, bzw. nur einen Hashcode) mitzusenden.
Willst du z.B. einem User seine gespeicherten Daten präsentieren, könnte es so aussehen:

var sndDaten = new LoadVars();
sndDaten.aktion = "meineDaten";
sndDaten.user = "p-flash";
sndDaten.pw = "*****";
 
sndDaten.sendAndLoad("..."); 

Das PHP-Skript überprüft dann ob die LogIn-Daten korrekt sind und liefert je nach gewählter Aktion bestimmte Daten.

Z.B. wenn alles KORREKT:

PHP-Code:

<?xml version="1.0" encoding= "UTF-8" ?> 
<login>
<aktion>meineDaten</aktion>
<status>ok</status>
<user>
<name>p-flash</name>
<userstatus>Routinier</userstatus>
<alter>**</alter>
<wohnort>***********</wohnort>
</user>
</login>

Wenn INKORREKT:

PHP-Code:

<?xml version="1.0" encoding= "UTF-8" ?> 
<login>
<aktion>meineDaten</aktion>
<status>failed</status>
</login>

In Flash, überprüfst du zwar jetzt auch den Status ("ok" oder "failed"), aber wenn alles "ok" ist, hast du schon die notwendigen Daten (Daten des Users). Also ist keine unsichere Abfrage mehr nötig.
Die if-Abfrage ist also nur noch dazu da um dem User die richtige Ansicht zu zeigen. Entweder eine Übersicht seiner Daten oder das die LogIn-Daten falsch sind.
Flash wird also nur noch zur Visualisierung benutzt.

Wenn du dann auch die Übertragung schützen willst, die sonst generell im Klartext verläuft, kannst du elysian's Tipps zur Rate ziehen.

[elysian]

oha, sry fürs missverstehen...

chers, thomas

[p-flash]

Jo, danke. Genau das war die Frage. Hört sich ziemlich sicher an.

p-flash