[ PHP ] veilig loginsysteem

[anoniem]

Ik ben nu bezig met een nieuw loginsysteem op basis van PHP. Ik bezit ook enkele boeken die een loginsysteem bevatten, maar deze gaan vaak niet verder als d.m.v. een databasequery username en password controleren. Ik kan me niet voorstellen dat dit de ultieme beveiliging is, dus ik was benieuwd hoe jullie dit doen. Zijn er nog andere technieken / methodes die zoiets veilig kunnen realiseren? GreetZzz

[anoniem]

een "server-side login, samen met (bijv) sessions over een "beveiligde verbinding" is as safe as you can get... t.

[anoniem]

Ik laat inloggen met user/pass, vervolgens deze checken in database, sessie cookie plaatsen, sessie in database zetten, bij elke volgende aanroep cookie en ip checken aan wat in de database staat.

[anoniem]

Sessie in database zetten? Wat zet je daar precies in, en dan vooral waarom?

[anoniem]

Mwoh, wat is veilig? Je kent vast het principe van de zwakste schakel, kijk daar dus eerst naar (hint: dat is dus 9 van de 10 keer niet het [i:2422b3abdc]"user+passwd in de database verhaal"[/i:2422b3abdc]).

[anoniem]

rechts streeks uit de site van php.net: [url]http://www.php.net/manual/nl/features.http-auth.php[/url] gebruik ik ook voor mijn site, is denk ik het veiligste wat er is BOERUH!!!!!!!! (15 km van oe vandoan!)

[anoniem]

[quote:d164a6f64d="scriptsnet"]gebruik ik ook voor mijn site, is denk ik het veiligste wat er is[/quote:d164a6f64d]Mwoah: in principe is pure .htaccess (waar dat van PHP van afgeleid is) veiliger. Als je PHP parser niet goed geconfigureerd is of dood gaat zonder dat de webserver meegaat ben je flink de l*l. Met .htaccess kan dat niet, die gaat pas stuk als de webserver ook dood gaat en dan valt er ook weinig in te loggen ;) Daarnaast is het natuurlijk altijd nog stukken veiliger om passwords alleen over een versleutelde verbinding te sturen, dan valt er ook weinig af te luisteren...

[anoniem]

[quote:8968d42e26="scriptsnet"]rechts streeks uit de site van php.net: [url]http://www.php.net/manual/nl/features.http-auth.php[/url] gebruik ik ook voor mijn site, is denk ik het veiligste wat er is[/quote:8968d42e26]Gebruik je Basic Authentication? Zo ja, dan worden username en password bij elke request onversleuteld over de lijn gezonden. Niet heel erg veilig dus. /edit: hmm, BG is me voor.