Spørsmål om sikkerhet på nettsted.

[Jabby]

Har gått å lurka på en idè i lange tider, den begynner nå å ta form (i mitt hode i det minste =)

 

Men, trenger å vite litt om sikkerhet. Siden skal ha brukere med profiler/kontoer, og disse kan inneholde verdier.

Kan vel ta en bettingside eller noe i den duren som eksempel, selv om det aldeles ikke er det ideèn går ut på.

 

Spørsmål:

 

- Hva slags sikkerhet kreves til en side som inneholder verdier. Altså en side hvor folk har registrert seg, fått en konto/account, og muligens har verdier knyttet til sin konto. Hva kreves for å få noe slikt sikkert?

 

 

 

Et lite Ps på slutten.. Om noen med virkelig peil på å mekke websider har tid og ernergi til overs, og evt ville vært med på et aldri så lite prosjekt, så ta gjerne kontakt =) Kravet er dog at du bør ha rimelig peil, da det er relativt store mangler på "webmekkekunskapene" mine!

Endret 4. august 2008 av Jabby

[mikk-]

Finnes det definerte krav?

 

Det bør jo selvfølgelig ikke finnes store sikkerhetshull (rens databasespørringene), du bør ha automatisk utlogging etter et tidsintervall, ville ikke hatt automatisk innlogging ("husk meg"-funksjon), vil kanskje være lurt å sette krav til passordet (feks minst 7 tegn, deriblant både bokstaver og tall), beskyttelse mot "bruteforce" (kontoen stenges etter feil passord er skrevet 3 ganger, åpnes via en e-post til brukeren (eller liknende)).

 

Ville ha brukt et ferdig godkjent system for å få pengene inn, dersom det er snakk om betalinger med bankkort eller liknende.

[Jabby]

Jo, tenkt på en del av det. Automatisk ut/inn logging bør vel folk velge selv? Om de vet de kommer til å være eneste brukeren på den maskin, så kan det vel være sikrere å ha automatisk pålogging + alltid være innlogget i forhold til keyloggers?

 

Tenkte også litt på sikkerhet i forhold til server. Pleier webhost firmaer å ha servere de kan garantere høyere sikkerhet på elns? Er virkelig blank på det der =)

[mikk-]

Hm, automatisk pålogging forutsetter jo en cookie som nødvendigvis må inneholde noe informasjon som kaaaanskje kan brukes til å komme seg inn på kontoen. Men man må jo ha adgang til maskinen for å komme igang. Kanskje kan det i så fall være et noe mer utilgjengelig valg enn det man har på Facebook/liknende? Eventuelt kan brukeren få en ordentlig advarsel om hva han/hun er i ferd med å gjøre? Jeg er ikke sikker.

 

Webhosten kan vel ikke gjøre noe med dine script, men det er deres ansvar å se til at sikkerhetshull i serverprogramvarene (Apache, PHP, etc ...) blir tettet.

[Per Kristian]

Sikkerhet i forbindelse med PHP/MySQL er et ganske kompleks tema. Her er tre gode artikler som gir deg en innføring i hvordan det funker:

 

Writing secure PHP 1/3

Writing secure PHP 2/3

Writing Secure PHP 3/3