|
|
Unser Anmeldesystem
|
Seit 7. Oktober 2000 verwenden wir für die Sicherung unserer
geschützen
Bereiche der Homepage ein neues Berechtigungssystem. Die alte Authorisierung
(Basic HTTP Authorize) hatte einige gravierende Nachteile und war zu wenig
flexibel, um den gestiegenen Anforderunen gerecht zu werden. Wir haben uns
daher für einen Umstieg auf die PHP Base Library (PHPlib)
entschieden.
|
 |
Für den Benutzer ändert sich mit Ausnahme des neuen Login-Bildschirmes nichts.
Alle Kennwörter sind gleich geblieben.
Kostprobe gefällig?
Ihre Session ID ist 9d45d365922e4cf0be9f6855a8c469cb
Sie sehen diese Seite zum 1. Mal.
Sie sind derzeit nicht angemeldet. Das kann sich aber ändern,
wenn Sie sich einloggen.
Benutzer: gast, Kennwort: gast
|
Die Vorteile die uns unser neues System bietet:
-
Kennwörter werden verschlüsselt (als MD5-Hash) übertragen.
erfordert JavaScript
-
Das Kennwort wird nicht mehr bei jedem Aufruf mitgesendet, sondern nur mehr eine
zufällige Identifikationsnummer (Session ID).
Wir empfehlen, Cookies zu akzeptieren.
-
Eine Anmeldung läuft nach 15 Minuten Inaktivität oder aber
spätestens nach 90 Minuten ab.
-
Wir können verschieden Berechtigungen (z.B. Bbr, Gäste) vergeben.
Das ermöglich uns, daß wir die
Fotogalerie
in öffentlichen, und privaten Bereich trennen und jeder nur die Fotos
sieht, die er sehen soll.
-
Mehr Sicherheit gegen Angreifer von außen.
-
Modern, schneller, besser, höher und weiter!
|
Und so funktionierts:
Beim Aufruf einer geschützen Seite wird vom Server die Session ID
(meistens als Cookie) angefordert. Fehlt diese ID wird dem Besucher eine Neue
zugewiesen und er sieht den Login Bildschirm. Erst wenn er sich erfolgreich mit
seinem Kennwort angemeldet hat, wird diese Session am Server als authorisiert
gekennzeichnet. Der Benutzer kann jetzt mit dieser ID auf andere
geschützte Seiten wechseln. Damit das funktioniert muß bei jedem
Aufruf diese ID auch an unseren Server mitübertragen werden. Das geschied
elegant durch ein Session-Cookie.
Dabei merkt sich der Browser die Information und schickt sie mit, wenn es
erforderlich ist. Viele Surfer deaktivieren dieses Feature allerdings bei Ihrem
Browser. In diesem Fall schickt unser Server die Session ID als Teil der URL
mit. Das ist zwar etwas unschön und hat den Nachteil, daß die
Anmeldung wiederholt werden muß, wenn ein Link angeklickt wird, der die
ID nicht enthält.
Anhand der übermittelten ID erkennt der Server um wen es sich bei diesem
Aufruf handelt und ob diese Person die nötige Berechtigung besitzt, den
angeforderten Inhalt zu sehen.
|
Warum der ganze Aufwand?
Der Hauptgrund für den Umstieg auf dieses moderne und leider auch
komplizierte Anmeldungssystem war, daß eine Authorisierung durch das alte
System nicht abläuft. D.h. das Kennwort blieb im Browser gespeichert bis
dieser beendet wurde. Angesichts unseres neuen Surf-PC
auf der Bude war das nicht mehr praktikabel, weil die Berechtigung eines
Bundesbruders dann bis zum Sankt-Nimmerleins-Tag gespeichert bleibt und das
andauernde Schließen des Browsers sicher "vergessen" wird.
|
|
nach oben
