2005-01-26 Tore Aursand wrote
> Morten Guldager wrote:
>>>>>Hvorfor tror du det? Det er ikke mer usikkert enn at hvem som helst
>>>>>_selv_ kan sette HTTP_REFERER. Du er med andre ord ikke sikker på at den
>>>>>informasjonen stemmer.
>
>>>>Nej, det er jeg helt med på. Fupper brugern mit program, så bliver
>>>>han blot selv sendt på afveje lidt senere....
>
>>>...og hvorfor tror du _det_?
>
>> Tja, efter mit program har checket et bruger login, sætter det
>> en kage og sender brugeren derhen hvor han kom fra.
>
> Både $ENV{HTTP_REFERER} og cookies han forfalskes, men det er jeg sikker
> på at du vet.
Yep.
> Poenget mitt var at denne informasjonen kan settes slik
> scriptet ditt ønsker at det skal være, dvs. til en "gyldig" verdi.
Som sagt referer bekymrer mig ikke. Cookien indeholder et bruger ID,
hvis brugeren ellers har et gyldigt password. Det er netop det mit
program checker.
Hvis login går godt så tager mit ptogtam userid + usergrp + en secret
værdi og beregner en MD5 hash. Cookien indeholder userid + usergrp + md5.
Koden der skal validere cookiens gyldighed kender også secret.
Man kan med andre ord ikke generere en gyldig cookie uden enten kende
secret eller finde og anvende en kollision i md5.
/Morten
