sicurezza log-in

[thenariel]

Ciao a tutti,
sto realizzando un sito che ha un area privata. Il form di user e password è in un swf ma manda i dati ad un file php che controlla su un database.
Vorrei sapere quanto è sicura questa soluzione...e se mi conviene fare il form in html..
grazie

[rempox]

diciamo che è sivuramente piuù sicuro che scrivere le password dentro flash o in un txt visto che entrambi sono leggibili.


poi dipende da come crei i controlli in php/Asp etc..

Ciao

[thenariel]

Ciao rempox,
a me hanno detto che con un decompilatore è possibile vedere l'azione che invia i dati al file php, e utilizzandouno di quei programmi che permettono di scaricare siti interi è possibile accedere al file php e quindi alle password di accesso al database..
è realmente possibile una cosa del genere

[crescenzo]

Originariamente inviato da thenariel
Ciao rempox,
a me hanno detto che con un decompilatore è possibile vedere l'azione che invia i dati al file php, e utilizzandouno di quei programmi che permettono di scaricare siti interi è possibile accedere al file php e quindi alle password di accesso al database..
è realmente possibile una cosa del genere

no assolutamente nn è così semplice la cosa
poi ti ocnsiglio di mettere il tuo db in una sottocartella con un nome molto lungo
e poi anche decompilando il file swf nn si vede niente
riesci a sapere come si chiama la pag php ma nn te la scarichi così facilmente come ti hanno detto

altrimenti sarebbe troppo semplie e tutti o quasi si potrebbero scaricare siti con pag php o asp con il db
cosa nn molto semlice

ciao

[crescenzo]

Originariamente inviato da thenariel
Ciao rempox,
a me hanno detto che con un decompilatore è possibile vedere l'azione che invia i dati al file php, e utilizzandouno di quei programmi che permettono di scaricare siti interi è possibile accedere al file php e quindi alle password di accesso al database..
è realmente possibile una cosa del genere

e poi in genere le password si mettono nel db e nn nella pag php o asp !

[and80]

se stai lavorando con php+mysql la cosa è già abbastanza sicura, ovviamente non dovresti mai tenere in chiaro la password nelle pagine, il controllo andrebbe fatto solo in php e solo sui campi, tipo

if($_POST['password_da_flash'] == $tuo_db['password']) 

e ad ogni richiamo da flash la verifica andrebbe rifatta, volendo potresti "hashare" la password nel db con md5() di PHP e fare poi la verifica in questo modo

if(md5($_POST['password_da_flash']) == $tuo_db['password']) 

ps. anche se non è chissà quanto maggiormente sicuro lavora con flash sempre in "POST"