TGJ wrote in <ape6u1$o5b$1@sunsite.dk>:
>> Eller hvis der er valgt dårlige passwords, så kan man nemt komme ind med
>> bruteforce.
> ok, bruteforce... hvad er det? prøv og prøv igen???
Ja. Noget i stil med:
"a", "b", "c" ... "z", "aa", "ab", "ac" osv...
Man kan evt. tage udgangspunkt i en liste over ord, som ofte bruges til
passwords. Man kan så gå listen igennem, med typiske variationer. Det
hedder "dictionary attack", hvis jeg husker rigtigt. :)
Umiddelbart lyder det som en opgave der aldrig bliver færdig, men en
computer kan altså drøne ret mange forsøg igennem hvert sekund, og så har
den meget god tålmodighed. :)
>> Selv har jeg haft problemer med "caching". Når man logger ind på den måde
>> er det browseren der husker på kodeordet, mens man er logget ind.
>> Spørgsmålet er så hvornår kodeordet glemmes igen. Den kan sagtens ligge
>> der i dagesvis,
>> og det er et problem, hvis andre har adgang til computeren. Fx. fysisk
>> adgang, men også hvis de får adgang til harddisken over netværket.
> kan man rense den cache fx efter 15 min??
Teoretisk set, ja. I teorien kunne den også blive tømt når man lukker
browseren. Spørgsmålet er, om netop dit system har de muligheder.
Jeg har prøvet at sætte med ved en offentlig workstation, og komme ind i
meget eget administrationsværktøj (som på det tidspunkt netop brugte
..htaccess-beskyttelse) uden at angive kodeord, fordi jeg havde brugt den
samme maskine en uge før. Jeg ved godt at Microsoft (det var IE på en
Windows-maskine) og sikkerhed ikke hænger så meget sammen, men jeg blev nu
alligevel ret chokeret. Jeg havde grundigt været igennem registrerings-
databasen for at fjerne urlerne jeg havde været på, men det lykkedes mig så
altså ikke at fjerne det cachede kodeord.
Jeg skyndte mig at ændre kodeordet, og har ikke indtastet kodeord noget
sted, hvor det kunne havne i en cache, jeg ikke har kontrol over. :)
(I det konkrete tilfælle brugte jeg Knoppix hver gang jeg skulle lave noget
på en maskine, der ikke var min egen.)
> eller skal jeg til at kigge på lidt cookies ?
Det ændrer nogle af tingene, men ikke nødvendigvis til det bedre.
Fx. mit cachede kodeord lå (så vidt jeg ved) krypteret på harddisken. Det
kunne selvfølgelig dekrypteres, men det kræver den rette software. Det er
nemt nok at få fat i, men alligevel...
Er kodeordet gemt i en cookie, så kan det findes frem med nogle ganske få
museklik.
Laver du det cookie/session-baseret er en større del af teknikken i dine
hænder, på godt og ondt.
Det er en forbedring, at du har bedre styr på caching (nogle browsere har
det med at cache alle password-felter, uanset hvad du gør på serversiden),
men du kan nemt selv lave en fejl, som er værre.
På trods af alle disse problemer, er der dog lige en ting du skal huske på.
Der er intet, der er *helt* sikkert. Bemærk at selv banker, som har ofret
millioner på at gøre deres homebanking sikker, kan man bryde ind i. Det
drejer sig altså ikke om at blive *helt* sikker, men sikker *nok*.
--
Mvh.
Niels Andersen
(la nels. anersyn.)