Криптографическая система

[HyperTim]

Криптографическая система

Добрый день!

Положим, есть win32 приложение. Пользователь вводит username, password.
Далее приложение перессылает данные методом POST удаленному скрипту.

Скрипт принимает эти данные.
Например, $_POST['username'], $_POST['password_md5'], $_POST['action'];

В случае, если имя пользователя и пароль лежат в БД, то скрипт расшифровавыет $_POST['action'], выполняет какие-то действия, "выплевывает" опять же в зашифрованном виде результат выполнения.

Вопрос:
1. Может ли злоумышленник перехватить эти данные? (Понятно, что он не сможет подставить свой action, так как не знает ни алгоритма шифрования, ни ключа. Но сможет продублировать действия)
2. Как улучшить эту систему.

 

[Necromant]

использовать SLL
http://phpclub.ru/talk/search.php?s=&action=showresults&searchid=1173017&sortby=after&sortorder=descending
или , если обмен осуществляется между 2 приложениями SOAP , XML
http://phpclub.ru/talk/search.php?s=&action=showresults&searchid=1173022&sortby=after&sortorder=descending
http://www.google.com/search?ie=UTF-8&hl=ru&q=secure SOAP
http://www.google.com/search?ie=UTF-8&hl=ru&q=Secure XML

 

[HyperTim]

SSL?
Т. е. улучшение = использование данной системы, но с условием, что удаленные скрипт находится по адресу "https://..." ?

 

[Necromant]

Т. е. улучшение = использование данной системы, но с условием

т.е. использовать SSL

 

[HyperTim]

Автор оригинала: Necromant
т.е. использовать SSL

что конкретно придется менять в этой модели? только настройки со стороны сервера?
методы в клиенте остаются, переменная $_POST в скрипте тоже?

 

[Necromant]

http://ru.wikipedia.org/wiki/SSL

 

[HyperTim]

Это я уже читал. И про номер порта и про стоимость сертификата. И даже про mod_ssl прочел.

Без ответа остался вопрос 1. Может ли злоумышленник перехватить этот $_POST?

С другой стороны. На любом сайте. Когда я ввожу имя пользователя и пароль, то эти данные тоже передаются $_POST.

 

[Necromant]

Без ответа остался вопрос 1. Может ли злоумышленник перехватить этот $_POST?

перехватить можно все , но все данные будут зашифрованы по алгоритмом с открыттым ключем

С другой стороны. На любом сайте. Когда я ввожу имя пользователя и пароль, то эти данные тоже передаются $_POST.

И почему именно $_POST , других методов передачи данных не сущетсвует , и какая разница POST, GET .... SOAP, в данном случае это не существено.

 

[HyperTim]

да, несущественно POST или GET
но про метод SOAP не слышал.

 

[phprus]

HyperTim

но про метод SOAP не слышал.

SOAP - Это не метод, а протокол обмена структурированными сообщениями в распределённой вычислительной среде ... Подробнее -
http://ru.wikipedia.org/wiki/SOAP