Geheime URL bzw. automatisches Einloggen mit Browser?

[Apollonius]

Ja, das war ein Denkfehler auf meiner Seite.
Wir haben hier ein Problem, das sich nur schwer lösen lässt: Entweder haben wir ein Sicherheitsrisiko in der Datenbank (bei mir) oder bei der Datenübergabe (bei dir). Mit anderen Worten: Das eine System lässt sich durch Datenbankzugang, das andere durch Mithören des Netzwerkverkehrs überlisten.

[blackdrake]

Hallo.

Zitat von Apollonius:

Mit anderen Worten: Das eine System lässt sich durch Datenbankzugang, das andere durch Mithören des Netzwerkverkehrs überlisten.

Ja, das ist eine allgemeine Problematik. Ich fände aber eine unsichere Datenbank schlimmer, da der Administrator Stielaugen bekommen (und ein gemeinsam verwendetes Passwort weiterverwenden) kann.

Bei meinem Fall sehe ich aber trotzdem kein Sicherheitsrisiko, da ein Hacker bei einem Ziel-PC mit meinem entwickelten Accountmanager die Logindaten sowieso mit einem Keylogger ausspähen würde. Oder alternativ die Registry auslesen, da dort der Accountmanager die Passwörter im Klartext oder Pseudo-Klartext (z.B. ROT13) speichern muss, um die 1-Klick-Logins zu gewähren. Ein Hackangriff mittels Packet-Loggern und der spezifischen manuellen Entschlüsselung mittels der dazugehörigen SessionID wäre dann ja unnötig schwer.

Gruß
blackdrake

[Apollonius]

Ja, die sichere Datenbank ist vorzuziehen. Noch ein bisschen Lektüre zum Thema: klick
Interessant ist vor allem der Teil zum Stanford Secure Remote Password Protocol.

[blackdrake]

Zitat von Apollonius:

Noch ein bisschen Lektüre zum Thema: klick

Omg, das sowie die Stanford-Beschreibung ist irgendwie "too much input" für mich . Ich bräuchte dafür eine Millionen Jahre um das zu lesen (und zu verstehen).

Kannst du mir kurz die Quintessenz dazu nennen? Was hat das Stanford-Protokoll mit mir zu tun?

Gruß
blackdrake

[Apollonius]

Ich hatte nicht gemeint, dass du das einsetzen solltest. Ich bin vor einiger Zeit von Codinghorror aus auf die verlinkte Website gekommen, und die ist mir wieder eingefallen. Das interessante daran ist, dass bei diesem Protokoll sowohl Kommunikation als auch Datenbank sicher sind - du löst also beide Probleme, die ich in Post 11 erwähnt hatte.

Aber mir fällt gerade noch etwas anderes ein: Da sich durch Mitlesen des Netzwerkverkehrs sowieso die Login-Daten erschnüffeln lassen - warum überträgst du sie nicht gleich im Klartext per Post?

[blackdrake]

Hallo.

Zitat von Apollonius:

warum überträgst du sie nicht gleich im Klartext per Post?

Es soll ein 1-Klick-Login sein, jedoch über den Standardbrowser. Da aber

a) nicht jeder Browser ein Auto-Formular-Ausfüllen hat
b) dieses Auto-Formular-Ausfüllen mindstens 2 Klicks + Wartezeit braucht

möchte ich einen Loginmanager. (Es ist ein Datenbanksystem mit Kalendern, Kontaktdaten und vielen nützlichen sonstigen Daten, die man einfach immer zu jeder Zeit und Schnell braucht, deswegen muss alles nur 1 Klick weit entfernt sein)

Diesen Loginmanager hatte ich ja mit meinem alten Secret-Key-System. Das war aber unsicher, da die geheime URL immer gültig war (und bei Weitergabe der URL große Schäden am Account angerichtet werden können). Das neue Schnelleinloggsystem ist nun sicherer, weil die Loginschlüssel immer nur 1 Mal gültig sind, aber man ist dann leider auf ein Windows-Programm angewiesen. (Was mir sehr unrecht ist)

Per Post könnte man natürlich die Logindaten gleich mitgeben und hätte damit einen Auto-Login, aber dann kann man nicht den Standardbrowser verwenden (siehe Post #1, Gedankenpunkt 2):

Zitat von blackdrake:

Oder bessere Variante:

2. Gibt es mit einer Delphi-Application eine Möglichkeit, ein HTML-Formular (mit Benutzername und Passwort) auszufüllen, ABER die nachfolgenden Webseiten mit dem Standardbrowser zu behandeln? (Man müsste dem Browser irgendwie das Formular-Ausfüllen beibringen --> Problem: Browser soll beliebig sein!)

Gruß
blackdrake