Veiligheid op internetsite

[remko van de beek]

Beste deskundigen,

 

Bij deze een vraag omtrent een vorm van beveiliging van een deel van een van onze internet sites.

 

In onze URL balk verschijnt nu steeds een link met bv. 14 of 15 aan het eind. Dit is een oplopend getal betreffende een persoonlijke pagina van onze klanten. Nu kan iedere bezoeker die pagina's inzien door enkel het eindgetal te veranderen.

 

Is er een simpele methode om in de URL enkel ons standaard adres weer te geven? Dus alleen https://www.higherlevel.nl en niet met alle subdomeinen etc.

 

Misschien te veel ICT voor dit forum, maar het heeft wel betrekking op veiligheid en aansprakelijkheid van onze onderneming.

[willemj]

Erg simpele vraag ;D

 

Eerste oplossing: gebruik frames, de url is dan niet te zien. Een ieder die iets meer verstand heeft van sites dan niets kan hier omheen werken.

 

Optie twee: zet een wachtwoord op de persoonlijke paginas. Lastig om omheen te werken en mocht je het toch doen maak je je shuldig aan een strafbaar feit.

 

Derde optie is om niet het automatisch oplopend nummer te gebruiken om je klant te identificeren maar een veel langer nummer. Ik gebruik meestal tussen de 8 en 20 posities. Verder controleer je of iemand niet alle nummers lukraak aan het proberen is om alsnog persoonlijke gegevens te krijgen (al is dat met 20 posities vrij onwaarschijnlijk)

 

Oh ja, je kunt ook nog cookies gebruiken om de klant te identificeren.

[remko van de beek]

dat is nou higherlevel; binnen 5 minuten eerste antwoord!

 

1. zijn net afgestapt van onhandelbare frames

2. wachtwoord is een logische oplossing; dank!

3. Programma maakt automatisch het oplopende nummer aan.. was ook al bij ons opgekomen om een 'random' nummer te gebruiken. We moeten even goed zoeken of en waar we dat kunnen aanpassen. Maar ook voor deze hint.. dank!

 

Blijft nog wel mijn vraag staan; kan ik zorgen dat de URL maar gedeeltelijk zichtbaar is?

[willemj]

Blijft nog wel mijn vraag staan; kan ik zorgen dat de URL maar gedeeltelijk zichtbaar is?

 

Op 1 of andere manier moet je script weten welke pagina hij aan welke klant moet laten zien.

 

Dat kan via de URL en die is dan ook zichtbaar voor de gebruiker tenzij je frames gebruikt zoals op HL (al gebeurt dit hier op een hele sneaky manier in javascript)

 

Of via een cookie, de informatie in de cookie is niet zomaar zichtbaar/wijzigbaar.

 

Andere oplossingen zijn er niet (afgezien van tracken op IP nummer o.i.d. maar dat is niet betrouwbaar)

 

Antwoord op je vraag is dus; ja als je cookies wilt/kunt gebruiken.

[Gast]

Het is wel degelijk mogelijk om de url anders te tonen, zonder frames.

Frames zijn oud en vies, dus dat is geen oplossing.

 

Ik weet niet hoe de site gemaakt is, maar als je bijvoorbeeld van een programmeertaal gebruik maakt zoals .NET , kan je iets met "httphandlers" doen. Dan zie je alleen www.domein.nl continue. Ook is het eenvoudig om dan voor elke klant een inlogscherm tevoorschijn te toveren. (met deze techniek kun je ook goede google resultaten krijgen!)

Het kan ook zijn dat je dit in IIS zelf kan regelen, maar dat weet ik niet zeker.

 

Verder is een random nummer genereren niet waterdicht, alhoewel het de drempel weer wat hoger legt....

 

Cookies is ook een prima oplossing hoor :)

 

De moeite die je stopt in security komt overeen met de gevoeligheid van de info. wellicht dat je daar ook iets over kan zeggen..

[remko van de beek]

..en nog meer mogelijkheden :)

 

Over de beveiliging:

Het is niet dodelijk als er een onbekende op de site komt..het zijn geen financiele transacties of extreem bedrijfsgevoelige info. Toch is het zeer zeker niet wenselijk dat (bv. concurrenten) de text op die pagina lezen.

@Willemj:

Wat zijn die httphandlers? En met IIS bedoel je 'in iedere site'??

 

nogmaals dank voor de reacties tot zover.

[djluc]

De enige manier om echte beveiliging te krijgen is de pagina met SSL beveiligen. Dat wordt gezien als een redelijk betrouwbare methode, mits goed geimplementeerd.

[Gast arrowman]

Blijft nog wel mijn vraag staan; kan ik zorgen dat de URL maar gedeeltelijk zichtbaar is?

 

In een veilig systeem is er geen enkele reden waarom URLs verborgen zouden moeten zijn. Sterker, het zou slecht zijn daarop te vertrouwen. URLs komen te pas en te onpas boven water bij het surfen, printen, bookmarken, als referer, in de cache etc.

 

Een username/password uitdelen per klant is de normale manier. Technisch werkt dat dan met een sessiemechanisme in het server-side framework dat je gebruikt. En dat maakt op zijn beurt gebruik van cookies. Voor een hoger veiligheidsniveau wordt dat geheel ook nog met SSL omgeven. En voor een nog hoger veiligheidsniveau gebruik je certificaten, hardware-id's en biometrie.

[willemj]

@Willemj:[/b]

Wat zijn die httphandlers? En met IIS bedoel je 'in iedere site'??

 

Wat httphandlers zijn mag je aan captbiele vragen, hij noemt ze :) IIS is de webserver software van MS.

 

Vertel trouwens eens hoe de klant bij z'n eigen pagina komt. Stuur je ze een linkje o.i.d?

[Gast arrowman]

Wat zijn die httphandlers? En met IIS bedoel je 'in iedere site'??

 

Ik gok dat hij Internet Information Server bedoelt :D

 

En wat httphandlers zijn staat hier:

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/cpguide/html/cpconhttphandlers.asp

 

[edit]linkje even werkend gemaakt[/url]

[Ryan Kalkhoven]

Welke taal gebruik je? PHP? Alleen simpel HTML?

 

Als je met PHP werkt kun je heel simpel met session variablen (zonder cookies in een tijdelijk bestand op de server) werken of met cookies.

 

Wat met HTML kan is door middel van een

te gebruiken om bij de pagina te komen met als methode "post" hiermee "post" je de variablen aan een "target" (de pagina waar je de variablen wil hebben) zonder dat het zichtbaar is in de title-bar.

 

De nummers die je in de title-bar hebt staan zijn zichtbare variablen en bovenstaande variablen zijn onzichtbaar voor de gebruiker TENZIJ de maker ze naar voren haalt.

 

Ik hoop dat ik je zo een beetje een duidelijk beeld heb gegeven. Succes!

[R.I.P. - Benm]

Wat met HTML kan is door middel van een

te gebruiken om bij de pagina te komen met als methode "post" hiermee "post" je de variablen aan een "target" (de pagina waar je de variablen wil hebben) zonder dat het zichtbaar is in de title-bar.

 

Tenzij je de source van het betreffende form even bekijkt en daaruit eenvoudig kan afleiden hoe het wel werkt... of met de developer tool van firefox naar de form info van het request kijkt. Erg veilig is het allemaal niet, al zal je de gemiddelde newbie er misschien wel mee buiten de deur houden.

 

Derde optie is om niet het automatisch oplopend nummer te gebruiken om je klant te identificeren maar een veel langer nummer. Ik gebruik meestal tussen de 8 en 20 posities. Verder controleer je of iemand niet alle nummers lukraak aan het proberen is om alsnog persoonlijke gegevens te krijgen (al is dat met 20 posities vrij onwaarschijnlijk)

 

Zoiets is best een aardige oplossing, zolang die nummers onvoorspelbaar zijn en lang genoeg is 'op de goede gok' opduiken van zo'n pagina heel onwaarschijnlijk. Zorg alleen dat je stats/serverlog niet openbaar te lezen zijn, want daar komen ze vervolgens wel gewoon in terug.

[remko van de beek]

Niet alleen meer antwoorden en oplossingen .. maar ook meer termen die ik niet ken.

 

Antwoord op de vragen:

Nu krijgen de klanten een link per mail of een username / PW combo. In die laatste vorm is de security al beter.

 

Vervolg:

Zelf begint het mij te zweven met al die termen. Dus ik heb deze thread doorverwezen naar iemand die er mee bezig gaat en die jullie taal verstaat :)

 

Tot op heden snap ik dat login/PW combo in iedere situatie gebruikmakende van cookies etc. het meest gebruikt is voor adequate veiligheid. Klinkt logisch. Ik hoopte echter dit te vermijden door onbekend te maken welke klanten / sites er bij ons bestaan. "Wat je niet kent kan je ook niet besnuffelen".. ofzo.

 

bedankt zo ver.

 

[Gast arrowman]

Nu krijgen de klanten een link per mail of een username / PW combo. In die laatste vorm is de security al beter.

[...]

Tot op heden snap ik dat login/PW combo in iedere situatie gebruikmakende van cookies etc. het meest gebruikt is voor adequate veiligheid. Klinkt logisch. Ik hoopte echter dit te vermijden door onbekend te maken welke klanten / sites er bij ons bestaan. "Wat je niet kent kan je ook niet besnuffelen".. ofzo.

 

Ik kan er eerlijkgezegd geen touw aan vastknopen. Je hoopt passwordbescherming te vermijden, terwijl je vertelt dat jullie dat al gebruiken. En wat valt er te 'snuffelen', als de gegevens van andere klanten achter een passwordbescherming zitten?