HAYAMIN.ORG

שונות => פורום משוב => נושא נשלח על ידי: Neo על יוני 09, 2009, 02:19:43

כותרת: מספר טיפים בנוגע לאבטחת האתר
תגובה על ידי: Neo על יוני 09, 2009, 02:19:43

היי, יש כמה ענייני אבטחה באתר ששמתי לב אליהם שכדאי לתקן כיוון שהן חולשות אבטחתיות (אני לא מגלה פה סודות גדולים, כל פורץ יזהה זאת בקלות):

1.  כאשר משתמש מזין סיסמא שגויה או שם משתמש שגוי - אין לספר לו מה הנתון השגוי שהוא סיפק (פשוט לומר לו שהסיסמא או שם המשתמש שגוי).

2. שמות המשתמש בפורום כפי שמפורסמים, הינם גם ה UserName להתחברות.  יש להמנע ממצב כזה... (לדוגמא לקבוע שהאי מייל הוא ה UserName וכל אחד יבחר כינוי).

3. כאשר משתמש טועה מספר פעמים בהקשת הסיסמא, מופיעה הודעה שכעת יהיה עליו להמתין, אך ניתן לעקוף זאת ע"י כניסה למערכת ויציאה מיידית.

דברים לפורצים קצת יותר מתקדמים (דרך ההתמודדות היא SSL):
4. שום נתון אינו מוצפן כך שע"י וירוס שמאזין ניתן יהיה לגנוב סיסמא.

5. בהעדר SSL, גניבת עוגיה תאפשר גם את גניבת ה Session (ע"י סוס טרויאני).

כותרת: מספר טיפים בנוגע לאבטחת האתר
תגובה על ידי: האלקשי על יוני 09, 2009, 12:56:23

תודה על הטרחה שבבחינת אבטחת הפורום.

המערכת אינה מושלמת. רחוק מכך.
בנוסף לפרצות שתיארת, יש פרצות
חמורות הרבה יותר ב-DB וב-PHP
שניתן לנצל לצרכים זדוניים.

רמת האבטחה מוגבלת על ידי הקוד של
סימפל-מאשינז, ועד עתה לא נתקלנו
בפריצות משמעותיות שיצריכו התקנת
מודים מיוחדים. לא מוכר לי פורום כלשהו
בעולם שמחמיר להשתמש ב-SSL
למקרה של גניבת Session ID.

אבל הדברים אכן נלקחים בחשבון.