Как получить данные базовой аутентификации через JS?

[Bred Vilchec]

Как получить данные базовой аутентификации через JS?

Собственно, суть уже написана.
Нужно это для авторизации, чтобы Жабаскрипт мог получать
пароль пользователя и хешировать его, только потом
пересылать серверу. По-моему именно по такому принципу
должна работать система, описанная в Избранном http://phpclub.ru/talk/showthread.php?s=&threadid=49043&rand=4
Если у кого-то есть другие предложения как на стороне
клиента хранить пароль в течении сессии (без кук), рад выслушать.

 

[Фанат]

боюсь, после того, как как ты ужнаешь пароль, тебе придется узнавать, как яваскриптом его отправить.

Впрочем, почитай на msdn - я думаю, всем будет интересно.

 

[Bred Vilchec]

можно например сделать iframe 1х1 и через него обмениваться с php, но это уже другой этап.

пойду еще раз к мелким .... и мягким.

 

[Фанат]

Не понял.
а при чем здесь фрейм и чем ты собрался обмениваться с пхпой?
какая разница - КУДА посылать? Я ведь спрашивал - ЧТО ты будешь посылать, а не куда

-~{}~ 20.08.04 23:30:

Впрочем, учитывая последние веяния микрософта в области автоматической аутентификации, боюсь, здесь дырки все позакрывали.

 

[Bred Vilchec]

в Избранном же все написано.
Сервак присылает случайное число, Жабаскрипт хеширует его и пароль, который берет из аутентификации или еще откуда-нибудь и отсылает обратно серваку, тот уже управляет страницей в зависимости от валидности пароля.
Я над этим еще много не думал, но первое, что пришло в голову - это Ифрейм.
Но вообщем-то суть не в этом.
Подумал, может хешированный пароль сразу в кукисе хранить...

 

[Фанат]

в избранном нет НИ СЛОВА про базовую аутентификацию.

 

[Bred Vilchec]

там описывается принцип разовой аутентификации, а мне нужно, чтобы пароль вводился единожды и каждый раз при переходе на новую страницу в пределах сессии он каким-либо хитрым и параноидальным способом проверялся.

То есть при вводе пароля создается сессия, но при этом пароль проверяется в каждой странице этой сессии.
Нужно только место на клиентской тачке, где можно было бы хранить пароль или, еще лучше, хеш пароля.

При этом желательно не пропускать пароль открытым по сети и защититься от сниферов.
По крайней мере так будет спокойнее моему больному сознанию

Базовая аутентификация вроде как обеспечивает сохранность пароля в течении какого-либо времени, но что-то уж часто говорят, что незащищенная она слишком.

Все-таки придется наверно юзать кукисы.

 

[Фанат]

Понятно. Я почему-то сначала подумал, что ты знаешь, что делаешь.

там описывается принцип разовой аутентификации

А многоразовая нафиг не нужна, если подумать. головой.
ОСОБЕННО, если ты параноик.

а мне нужно, чтобы пароль вводился единожды и каждый раз при переходе на новую страницу в пределах сессии он каким-либо хитрым и параноидальным способом проверялся.

это абсолютно бессмысленно. Точнее, ничуть не надежнее проверки признака авторизованности вместо пароля.
Будешь спорить?

Базовая аутентификация вроде как обеспечивает сохранность пароля в течении какого-либо времени

как мы уже выяснили, это во-первых, нафиг не нужно, а во-вторых, ты не можешь зашифровать пароль от базовой.

Все-таки придется наверно юзать кукисы.

ты, случайно, не слышал такое слово - сессии?

-~{}~ 21.08.04 00:49:

Такое ощущение ,что ты первый придумал "многоразовую" аутентификацию, а все остальные (вот дураки-то!) пароль при каждом клике спрашивают.

 

[Bred Vilchec]

То есть Вы, уважаемый, предлагаете передавать пароль через сесссию? Бред это.
Вам случайно мама в детстве не рассказывала, что подключиться к существующей (существовавшей) сессии не так уж и трудно?

Например.

Хакер Миша спер у ламера Васи идентификатор сессии. Это не так уж и сложно, если залезть как-нибудь например в /tmp или
же посмотреть хистори браузера Васи. Можно написать Васе письмо с просьбой выслать идентификатор (Вася подумает, что идентификатор - все-таки не пароль и почему бы его не отослать).
Есть еще куча маловероятных, но возможных способов получить идентификатор.

Хакер Миша спокойно подключается к Васиной сессии и...
о чудо! сервер присылает Мише пароль Васи (или хеш пароля) да еще и вместе со случайным ключом!
Несколько нехитрых манипуляций - и Миша полноправный пользователь скрипта.

Резюмирую: В моей системе от пароля на каждой странице зависит само существование сессии, это значит, что передавать пароль или хеш через сессию нельзя.
Я пытаюсь предусмотреть даже те случаи, когда хакер уже может что-нибудь делать на сервере и максимально усложнить его работу.
Я не пытаюсь сделать абсолютно защищенный сайт целиком, мне нужно лишь приложение, которое более-менее стабильно работато бы даже если все другие скрипты дырявые в хлам.

 

[Фанат]

То есть Вы, уважаемый, предлагаете передавать пароль через сесссию?

То есть, вы, подчеркнуто вежливый, но не имеющий и в мыслях ни капли уважения, настолько вчера зенки водярой залили, что вам чудится то, чего и в помине не было?
Потрудитесь-ка показать пальцем то место, где я говорю, что пароль надо передавать через сессию. И поживее.
После этого рекомендую протрезветь прочитать заново.

о чудо! сервер присылает Мише пароль Васи (или хеш пароля)

С этого места, пожалуйста, поподробнее.
Я понимаю, что в белую горячку чего только не привидится, но на трезвую-то голову где ты видел сессию, которая ЧТО-ТО ПОСЫЛАЕТ ЮЗЕРУ?

В моей системе от пароля на каждой странице зависит само существование сессии

Ради бога. Заставь юзера включить куки, пихай в них зашифрованный пароль, и делай свою авторизацию.
Если бы сразу толком спросил, что тебе надо, а не носился, как слепой сайгак по пустыне, с безумными идеями, то тебе бы давно ответили.
Ни сессии, ни базовая авторизация к твоим идеям не имеют ни малейшего отношения. Равно как и твои представления об уровне их безопасности не имеют ничего общего с реальностью.

О маловероятных, но возможных способах просниффить трафик и выловить гоняемый туда-сюда пароль мы не будем упоминать. Зачем портить красивую идею?

Маленький совет.
Прежде, чем рассуждать с таким пафосом о каком-либо механизме, сначала хотя бы почитай он ем что-нибудь, хотя бы фак какой завалящий, что ли. Чтобы не выглядеть НАСТОЛЬКО профаном.

И последнее.
Надеюсь, резкость, на которую ты нарвался, не помешает тебе вникнуть в суть той бездны знаний, которую я перед тобой открыл.

 

[Bred Vilchec]

>>Потрудитесь-ка показать пальцем то место, где я говорю, что пароль надо передавать через сессию. И поживее.

Я писал: "Все-таки придется наверно юзать кукисы. ".
Ты ответил на это: "ты, случайно, не слышал такое слово - сессии?".
Своим ответом ты предложил передавать пароль через сессию не так ли? Если есть такие вопросы надо идти и перечитывать всё что написано.

>>где ты видел сессию, которая ЧТО-ТО ПОСЫЛАЕТ ЮЗЕРУ?

Везде. Все сессиии что-то посылают юзеру.
Ты можешь понимать речь, отличную от той которая нудится в мануалах?
Под посылкой сессией данных пользователю подразумевается установка переменных сессии. Это только школьник не поймет.

>>Если бы сразу толком спросил, что тебе надо...

Я и так спросил толком что мне надо!
Это ты начал задавать вопросы что? зачем? и как?
из-за этого и получился этот дурацкий треп - один другому объясняет, но тот ничерта понимать не хочет и цепляется к каждому слову.

>>суть той бездны знаний, которую я перед тобой открыл.

Браво! Спасибо, сенсей!!! Ты не сказал мне ничего нового.

Треп этот мне начал надоедать, я все равно не найду здесь диалога. Твои тупые вопросы не делают тебе чести, такое ощущение, что ты всеми силами пытаешься посадить меня в лужу. ДУДКИ!

Если тебе все еще так страстно хочется меня опустить расскажи-ка в подробностях о твоем варианте подобной системы.
Если в твоем варианте будут глюки или дыры - в лужу сядешь ты.

 

[Фанат]

Своим ответом ты предложил передавать пароль через сессию не так ли?

Своим ответом я предложил тебе использовать сессии для авторизации. Если бы ты понимал, что такое сессия, ты бы сразу это понял. Поскольку пароль "передавать" через сессию бессмысленно. Собственно, и передавать его в сессии некуда.

Все сессиии что-то посылают юзеру.
Ты можешь понимать речь, отличную от той которая нудится в мануалах?

Мальчик. Эти мануалы я сам пишу. И если до кого-то не доходит (а точнее, что-то НЕ ЧИТАЕТ ИХ ВОВСЕ!), то это его проблемы. Повторяю, если с первого раза не дошло: Сессия. Никаких. Переменных. Юзеру. Не. Посылает.
Сессия на то и придумана, чтобы все переменные на сервере хранить.

Под посылкой сессией данных пользователю подразумевается установка переменных сессии. Это только школьник не поймет.

Судя по тому, что ты этого не понял, если явно пишешь чуть выше, что

сервер присылает Мише пароль Васи

то я разговариваю не со школьником, а с младенцем.
По уровню мышления похоже.

Итак. Ты до сих пор не объяснил, каким образом сессия присылает мише пароль.
Мне все еще интересно.
(особенно, если его там нет)

Я и так спросил толком что мне надо!
Это ты начал задавать вопросы что? зачем? и как?

То, что тебе надо было с самого начала - не реализуется. поэтому надо искать другие пути.
Ты не согласен? Ради бога, я настаивать не буду.

из-за этого и получился этот дурацкий треп

А я не считаю, что он дурацкий. Треп выявил вопиющие дыры в твоих знаниях о предмете, которые немедленно надо заполнять.

Ты не сказал мне ничего нового.

Печально слышать.
От человека, который продолжает нести бред, и не желает открывать глаза свету истины.

Если тебе все еще так страстно хочется меня опустить

Дурачок. Опускаешь себя только ты сам. Споря по вопросу, в котором не смыслишь ни бельмеса.
А я лишь пытаюсь вбить в твою голову чуть-чуть знания.
Но мое терпение скоро иссякнет.

расскажи-ка в подробностях о твоем варианте подобной системы.

И не надо меня брать на слабо. Ты комару что-то доказывашь, вместо того, чтобы его прихлопнуть? Вот и я к тебе не больше эмоций питаю. Идеальную систему еще не придумали. Но дело даже не в этом. А в том, что наличие дыр в "моей" системе никак не закроет дыры в твоей. На которые ты закрываешь глаза. И в том, что я не собираюсь с тобой пиписьками меряться. Я в лужу не сяду, пойми ты, дурачок. В лужу можно сесть только перед тем, чье мнение тебя интересует.
Так что, поверь, я совершенно бескорыстно тебе помогаю

-~{}~ 21.08.04 17:49:

разница между мной и тобой в том, что я реально оцениваю безопасность всевозможных систем, на основе имеющихся у меня ЗНАНИЙ. причем не о какой-то дурнойидее, а о технологии в целом.
А ты бегаешь со своей единственной высосанной неизвестно откуда идеей, как с писаной торбой и кидаешься ее защищать, как истеричная мамаша своего чумазого дитятю.
И основа твоей идеи - невежество и обрывки слухов.

 

[Bred Vilchec]

Видимо меня немного занесло вот в чем.
Когда я говорил, что все сессии посылают переменные юзерам я немного ошибался. Я просто имел в виду hidden-поля в формах, из которых Жабаскрипт брал бы хеш пароля и случайное число для последующих действий.
В данном контексте сервер действительно посылает юзеру переменные!!!
Именно это я имел в виду, когда говорил
"сервер присылает Мише пароль Васи " и прочее.
Сбил с толку ты меня своими тупыми вопросами.
Вообще говоря можно сделать собственный способ сохранения данных сессии, но это уже другой разговор и явно не с тобой, а с более разумными людьми.

Ты тоже не особо отличился, уважаемый.
Во-первых за весь этот треп ты ничего дельного не предложил, только критикуешь и критикуешь и цепляешься к словам. И ты не сказал мне чего-то того, что я не знал раньше.

Во-вторых, давненько я столько оскорблений не слышал на пустом месте. У Вас с психикой все ОК уважаемый?

В-третих, ты меня все время пытаешься чему-то научить. Ты в универах не преподаешь случаем?

В-четвертых, хоть я бываю и заносчив в изложении, ты же похоже вообще мало представляешь себе подобную систему. Что ты хочешь всем этим сказать? Что один раз авторизуешь юзера и хрен с ним - пусть че хочет то и творит?
Ты еще подикось уверен, что к чужой сессии подключиться невозможно?

PS "меряться пиписьками"- плод твоего припухшего сознания, которое при том еще и не на ту волну настроено :-|

 

[Фанат]

Если человек знает мало, как ты, его можно научить.
Если человек еще при этом и туп, как ты, то его можно бить палкой по голове, пока до него не дойдет.
Но если он при всем этом еще и тявкает на того, кто ему пытается помочь - этот человек безнадежен.

Пшел вон отсюда, чурка.

 

[Bred Vilchec]

Ага, уже иду, сенсей.
Оскорблять в ответ не буду - просто &nbsр;
Мне насрать на то, что ты думаешь обо мне и моих идеях, поскольку своих ты не имеешь.

 

[rsv]

хм
а может в юмор

 

[Bred Vilchec]

что тут смешного?
все ответы Фаната скорее на форум к психоаналитикам.
Абсолютно серьезно.

 

[Фанат]

Беда в том, что так считаешь один ты.
А к мнению человека, который не умеет читать и думать, извини, я не привык прислушиваться.

Впрочем, я ошибся. Так считаешь не один ты. У тебя, надо признать, отличная компания. Половина в рид-онли, половина - из помойки не вылезает.

Я признаю, что был излишне резок.
Но ты зря, все-таки, не прислушался к тем словам, которые я тебе написал.

 

[rsv]

не начинай опять
а то точно в юмор отправят

 

[Фанат]

впрочем, я тоже думаю, что данный топик слишком печален, чтобы быть в юморе