Logge på side automatisk?

[the_ruthless]

Før i tiden kunne man logge på endel sider ved å ha brukernavn og passord i linken, slik som f.eks. http://brukernavn:[email protected]/passor...et/mystisk.html

Nå hører jeg at det, med siste oppdatering i Internet Explorer, ikke går ann å gjøre det slik lengre. Så har man kunder som ikke ønsker å skrive brukernavn og passord for å komme inn på sin egen passordbeskytta side. De ønsker fortsatt å bruke Internet Explorer med siste oppdateringer, og de ønsker fortsatt passordsikra sider.

 

Noen "nye" måter å linke på? Noe software som kan installeres på server? Cookies? Noe annet? Noen løsninger?

Jeg er åpen for forslag.

[Terrasque]

man kunne jo brukt SSL sertifikater. Generere en til hver kunde, signere med en egen nøkkel man lager til det formålet.

 

Problemet er (blant annet) at dette i bunn og grunn bare verifiserer datamaskinen, ikke brukeren.

[the_ruthless]

Tja... Det er en bunch av datamaskiner. De logger seg på en intranettside, og dermed skal de ha tilgang til alt av linker og slikt under der.

Kan høre om SSL-sertifikater hadde vært en mulighet.

 

Flere forslag?

[Terrasque]

kommer an på hvor god/dårlig sikkerheten skal være

[the_ruthless]

Det har strengt tatt ikke så mye å si. Bare de kan logge på en ekstern side, via link på intranettsiden, uten å skrive brukernavn og passord til denne, så er alt bra. De må oppgi passord for å komme inn på intranettsiden i utgangspunktet. Sikkerheten er ikke spesielt viktig...

[Terrasque]

Sorry at det tok så lang tid å svare, hadde noen gentoo problemer i går, og glemte dette helt.

 

Det som kanskje går an er å mekke en php "autentiserings-portal" ting.

blabla.com/auth.php?name=bla&pw=bla&hash=bla eller noe slikt.

 

Nå vet jeg ikke om php kan "legge inn" basic auth info i klienten, men det kan være verdt et forsøk. Evt. mekke systemet om til å bruke php-basert verifisering (php session id ting).

[the_ruthless]

Det hørtes ut som en bedre idé! Tusen takk. Skal høre med sysadmin om dette hadde vært noe.

 

Andre forslag..?

[Frank2004]

http://www.google.com/search?hl=en&lr=&ie=...Bon&btnG=Search

[Terrasque]

Hvis du skal gjøre noe så drastisk, er det bare å fyre opp et kerberos-system.

[the_ruthless]

Tror jeg vil ha mer info om denne PHP-greia di, Terrasque.

Single Sign-On så umiddelbart litt "tungt" ut.

[Terrasque]

I prinsippet er det vel bare noe slikt:

 

Litt psuedo-kode (type pythonesque, generell)

Klient-siden:

user=logged_on_user
secret="Eer4bexi"
date=day+month+year
ip=user_ip
hash=md5(user+date+ip+secret)

url="http://www.blabla.com/auth.php"

print url+'?name='+user+'&hash='+hash

 

Server side

user=get_user
hash=get_hash
secret="Eer4bexi"
date=day+month+year
ip=user_ip

if user isin database:
 if hash = md5(user+date+ip+secret):
    do_verification

 

secret må være samme på server og klient, og bør være 5-15 bostaver og tall.

hva som legges inn i hash'en er opp til hver enkelt, bare husk at stringen som skal hashes må kunne genereres på begge maskinene.

 

Fordeler:

• klientsiden tar all verifiseringen, passord trenger ikke lagres i det hele tatt på server side
  
• Linken vil bare være gyldig en dag.
  
• Kan bare brukes ifra den maskinen som fikk linken.
  
• Passordet vil være umulig å finne ut av fra linken.
  

Ulemper:

• Hvis man finner ut secret kan man late som man er hvem man vil. Dette kan motvirkes ved å legge til passord og, men det kan by på andre problemer (som f.eks hvis passord ikke blir lagret i klartekst på server)
  

 

Hvordan er nettverket bygd opp? Er det domene-system? Hvor i systemet står serverene? (på internett?) Vanskelig å gi klare ideer når jeg ikke vet hvordan systemet er.

[the_ruthless]

Det er, såvidt jeg forstår, brukermaskiner i et nettverk i en bedrift. De logger seg på, via Internet Explorer, en intranettside på husets interne server. Herfra har de linker, derav enkelte av sidene er passordbeskyttet... Forskjellige rettigheter til forskjellige brukere er ikke viktig på denne siden. Her går alle over en kam. (Det kan tenkes at de har forskjellige passord for å logge på, men til den spesielle sida er det bare et brukernavn og passord som gjelds.)

[Terrasque]

Hmm.. Skjønner. Ser ut som at user:pass@host type system er beste løsningen ja. Noe annet vil kreve mye arbeid.

 

Har tenkt litt. Hvis microsoft sperrer for det, kan det godt hende at det finnes en registry option for å slå det på igjen. Det kan også hende at javascript har en funksjon for nettopp det der, som ikke krever user@host type url.