Übertragung des Passworts von Browser zu Server

[multiprogger]

Ich hab mir mal angeschaut, in welcher Form das eingegebene Passwort beim Login vom Browser zum Server, auf dem der Shop läuft, übertragen wird.
Das Passwort wird vor der Übertragung clientseitig nicht in einem separaten Schritt verschlüsselt und liegt in der HTTP-Message damit in Klartext vor? Korrigiert mich bitte, wenn ich was übersehn hab.

Linkback: https://www.modified-shop.org/forum/index.php?topic=29169.0

[noRiddle (revilonetz)]

Dafür gibt es doch die SSL-Option.
Zertifikat kaufen, in den configure-Dateien (/includes/configure.php | /admin/includes/configure.php) SSL aktivieren und schon werden Logins verschlüsselt übertragen.

Gruß,
noRiddle

[Sortilege]

Danke dafür, noRiddle,

nun weiß jeder in welchem Verzeichnis und welcher Datei er suchen muß. Die Hacker müssen sich nicht mehr abmühen.

Und, Du weißt schon dass SSL NUR den Weg der Daten verschlüsselt, nicht die Daten beim Absender und nicht die Daten auf dem Server!

Man könnte sie aber schon in der Config verschlüsselt speichern - mit dem Nachteil, dass man die Datenbank nicht mehr nachträglich ändern darf.

[Matt]

nun weiß jeder in welchem Verzeichnis und welcher Datei er suchen muß. Die Hacker müssen sich nicht mehr abmühen.

Du hast schon verstanden wie das mit dem Open Source funktioniert, oder? Dank noRiddle hat sich jetzt ein potentieller Hacker das Entpacken des Verzeichnisses erspart. Well...

Und, Du weißt schon dass SSL NUR den Weg der Daten verschlüsselt, nicht die Daten beim Absender und nicht die Daten auf dem Server!

Auch hier scheinst du einige Grundprinzipien nicht verinnerlicht zu haben. Man geht davon aus, dass man seinem eigenen Server traut. Deshalb ist eine Verschlüsselung aller Daten auf Serverseite völlig unnötig. Und um die Verschlüsselung auf Anwenderseite kann sich der Shop nicht kümmern. Wenn der User seine Passwörter in einer Textdatei speichert dann macht er das völlig auf eigenes Risiko. Bleibt also der Weg, der für Man-in-the-middle-Attacken genutzt werden kann. Die Lösung dafür hat noRiddle bereits gepostet.

Man könnte sie aber schon in der Config verschlüsselt speichern - mit dem Nachteil, dass man die Datenbank nicht mehr nachträglich ändern darf.

Nein, kann man nicht. Niemand redet hier übrigens vom Passwort des MySQL-Servers.

[WayneTsun]

Also Sortilege, Du bist ja schon unterhaltsam.

Glaubst Du ernsthaft, dass es auch nur einen auch noch so dilletantisch agierenden Hacker gibt, der nicht weiß, dass es Dateien mit dem Namen "configure.php" gibt und er diese etwa auch noch wochenlang in allen verfügbaren Verzeichnissen suchen müsste? Nicht ernsthaft, oder?

SSL verschlüsselt den Weg der Daten. Richtig und evtl. sogar ausreichend, wenn man diesen nicht allzu kurzen Weg (evtl. über London oder Washington) sichern möchte. Die Daten beim Absender wie beim Empfänger sollten allerdings schon anderweitig gesichert sein.

Das PW in der config zu verschlüsseln ist sicher eine Möglichkeit. Warum sollte man aber die DB dann nicht mehr ändern können? Zumal verschlüsseln ja nicht heißt, das man eine Tür zumacht und den Schlüssel wegwirft.

Beste Grüße,
Wayne

EDIT: Ich meinte jetzt das Passwort des MySQL-Servers verstanden zu haben. Sorry, Matt.