Идеи: Немного о безопасности

[Alexandr_]

Лично я всегда безопасность сайта ставил в приоритет всем остальным показателям.

С недавних пор:
Я на своем сайте поставил возможность авторизации по ключу из $_SERVER["HTTP_USER_AGENT"]
Причем авторизация как бы проходит до момента установки cookies. А дальше страница ошибки и выйти можно, лишь удалить куки вручную.

Как это работает:
На всех страницах для пользователей определённых групп подгружается некий файл в котором описаны правила доступа. Причем можно указать правила отдельным пользователям и группам.

Для наглядности, часть лога:

Код: Выделить всё

"Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:12.0) Gecko/20093109 Firefox/12.0"

Я изменил Gecko/20093109 с виду всё нормально, движок/дата, но это только на первый взгляд, данная строка уникальна.

Собственно сам код.

Код: Выделить всё

if (strpos($user_agent, "20093109") == false)
die('");

20103109 это и есть тот идентификатор который я прописываю в своем браузере.

можно комбинировать || с языком браузера по умолчанию. который можно поставить в настройках своего браузера для входа под группой администратора, модератора. Разные настройки можно применять разным группам и пользователям.
проверка языка:

Код: Выделить всё

if (substr($_SERVER['HTTP_ACCEPT_LANGUAGE'], 0, 5) !== "ru-ru" && substr($_SERVER['HTTP_ACCEPT_LANGUAGE'], 0, 2) !== "uk")die('");

То есть, если я зашел на сайт под админом и язык браузера и идентификатор не совпали. То делать на сайте, больше нечего.

В идеале браузер для своих сайтов лучше запускать с флешки.

Данную реализацию я сделал на своем сайте не на phpbb. Работает на 100%.

[Sumanai]

Оригинально конечно, но такая уникальная строка будет выделяться при посещении других сайтов. То есть получается, что нужно иметь отдельный браузер для захода админом, например.

[Alexandr_]

То есть получается, что нужно иметь отдельный браузер для захода админом, например

В идеале браузер для своих сайтов лучше запускать с флешки.

Это лишь часть комплекса мер.

Добавлено спустя 2 минуты 39 секунд:
А вот с языком по умолчанию будут проблемы, если я использую фарси на пример )))

К стати такого рода фильтр (определяя масив из разрешенных языков) можно юзать и на страницу авторизации.

Добавлено спустя 14 минут 30 секунд:

Оригинально конечно, но такая уникальная строка будет выделяться при посещении других сайтов.

В конечном этапе в логах будет:

Код: Выделить всё

"Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:12.0) Gecko/20093109 Firefox/12.0"

Чем же оно будет выделяться?

[Sumanai]

В конечном этапе в логах будет:

Да ну вы сами написали- фейковой датой. Думаю диапазон дат весьма ограничен. Точнее даже у меня (фрагмент)

Код: Выделить всё

WOW64; rv:25.0) Gecko/20100101 Firefox/25.0

И строка 20100101 давно не менялась. Хотя может это я что так настроил- профиль старый.

[Alexandr_]

Ситуация:
взломщик получил все нужные пароли а при загрузки страницы получает ошибку вэб сервера. Или фейковую панель управления.
Так то на месте взломщика куча вопросов сразу появиться, и мысли, почему данные на сервер не отправляет.
И вообще, это же надо словить именно меня в логах и применить этот заветный идентификатор, который, к стати, без поддержки нужного языка не сработает.
плюс ко всему, есть ещё доступ по ip по header авторизации. В принципе, в моём случае идентификация всё равно будет не возможна. Из ряда принятых мер безопасности.

[Alexandr_]

Продолжаю тему
В общем про дополнительный браузер написано было наспех. есть User-Agent Switcher он идет как дополнение, ко всем популярным браузерам: opera, mozilla, Google chrome, Safari ...

Он очень простой и в установке, и в настройках.
Просто при заходе на сайт включаете нужную вам закладку.

Снимок.png (51.39 КБ) Просмотров: 21213

как вариант:
Я пошел немного дальше, теперь каждый пользователь может в своем профиле добавить свой ключ. Для этого в профиле я создал дополнительное поле и линк(pop-up) с небольшой инструкцией и ссылками на установку плагина, к тому, или иному браузеру, скрипт определяет браузер пользователя и выдает нужные ссылки автоматом. Всё что нужно пользователю, это прописать идентификатор в своём профиле, и добавить его в User-Agent Switcher. также в профиле, можно указать в выпадающем списке и язык браузера, для большей надежности, так как проверка будет ещё и по языку.

Как это работает сейчас:
Я зашел на phpbbex.com с настройками дефолтного юзерагента, потом зашел на свой сайт, под админом естественно, прохожу авторизацию и получаю ошибку так как юзерагент у меня по умолчанию. Далее я легким движением мыши переключаю (как показано на картинке) на нужную мне настройку агента и обновляю браузер. После чего все страницы сайта доступны только моему браузеру без исключения.

В данном примере, работа с базой данных, но можно и через инклюд в config файле. Для доступа отдельным группам по level. В общем тут вариантов комбинаций очень много.

Минусы: если забыл идентификатор после пере установки системы, браузера, не сделав бэкап. Войти не получиться.
Решение данной проблемы есть и не одно. Описывать не буду так как для себя сам решаю какой лучше выбрать.

В итоге, получается очень надежная и простая система идентификации.
Пофигу:
Фишинг
Брут
Не паримся о сложности пароля к сайту
Можно без привязки по ip

Боимся:
Перехват трафика (снифферы)
Решение: ssl решает проблему
Данные с браузера на прямую
Решение: Ставим мастер пароль, как вариант, такой же как и сам ключ (патчим вовремя)

[Test]

zeeshan002 - тупой спам бот!!!!!!!!!!!!!!!!
А защита от спама не работает!!!