[posted and mailed]
Sendt til dk.edb.internet.webdesign.html og til Erik Ginnerskov, der
nok har interesse i at læse indlægget.
Jesper Brunholm wrote:
> Hvis det skal være rigtigt sikkert så skal du have noget
> serverside.
Ganske enig.
I teorien kunne man lave et JavaScript, der pakkede sidens indhold ud
med password som nøgle, men i praksis er det næppe en holdbar løsning.
> Hvis du kan nøjes med noget som man skal bruge en stak timer, lidt
> datalogi og en god del indædt vilje for at komme igennem, så er
> der et par løsninger her:
>
> <
http://www.hjemmesideskolen.dk/scripts/pass.asp>
Der er to løsninger på den side.
1) En JavaScript løsning, der har problemet med at den kun skjuler den
rigtige URL og ikke kræver password, hvis URLen tilgås direkte.
Den kan ikke brydes som sådan (medmindre password er nemt at gætte),
men den er usikker, da en eller anden med adgang til siden kan lave et
direkte link til den. Hvis der fører links væk fra siden, kan adressen
desuden ses i referer-logs på den webside, som linket fører til.
2) En Java applet løsning, der tog 20 minutter at knække. Det ville nok
have taget 5-10 minutter, hvis ikke lige det var fordi det er nogle
måneder siden, jeg legede med Java. Desuden har den samme problem med
adresselinjen som løsning 1.
Og nej, det er ikke fordi jeg er genial til Java. Det var blot at kigge
i koden via en decompiler og rette et par funktionskald. Derefter afgav
den gladeligt brugernavne, passwords og tilhørende adresser.
Jeg vil ikke anbefale den applet. Det kan gøres meget bedre, ved f.eks.
at anvende brugernavn/password som nøgle til kryptering af adressen.
--
Toke Eskildsen -
http://ekot.dk/