Forum
Aktif konular
Üyeler
Kurallar
Arama
Tahribat.com Forumları 
Android - IOS Programlama 
Token Login System (Yardım Algoritma Mantık Yardımı) Token Login System (Yardım Algoritma Mantık Yardımı)
-
@MhmdAlmz .NET'in ürettiği token sanıyorum php'nin yolladığı PHPSESSIONID ile aynı. Hayır bu JWT değil.
Amaç token'in içinde sonradan ihtiyaç duyacağımız bilgileri saklamak. Tokeni kastırmaya, şifrelemeye gerek yok, sadece bizim oluşturduğumuz orijinal token olduğunu doğrulasak yeterli. Onu da tüm token içeriğini toparlayıp, bir gizli anahtar metniyle birlikte özetini çıkartarak sağlıyoruz. Tokende bizim belirttiğimizden bir bit bile farklı olsa özet değişecek ve biz tokenin mıncıklanmış olduğunu göreceğiz. Access Denied olayı yani:)
Not: SHA1, MD5 şifreleme algoritmaları değil, hash yani benzersiz özet algoritmaları. Verilen ifadenin özetini çıkarmaya yarar ve geri dönüşü yoktur (geri dönüşü olsa yani ürettiği değerden temiz metni çıkartabilsek şifreleme algoritması olurdu). Burada anahtar sözcük benzersiz olması. Kısaca AAA ile AAB temiz metinleri çok farklı özetler çıkarır. MD5 ile benzersizlik garanti değil. Çoğu durumda yeterli fakat çakışan özetler var.
Not 2: E-ticaret demişsin. E-ticaretin kuralları var ve jwt kullanmanın hiçbir anlamı yok. Uzun süreli oturumlara gerek yok çünkü. Ayrıca 3d secure kullanırsan, kullanıcının kart bilgilerini saklamazsan (yassagggh zaten), e-posta, telefon doğrulaması yaparsan, SSL'siz bir nane bile bırakmazsan, sunucu sağlam bir firmaya emanetse, OWASP makalelerini yalayıp yutarsan başka bir şeye gerek kalmaz. İşin içine para girdi mi XSS de çok önemli bir açıktır. Bazı sitelerimde xss açığı olmasına rağmen risk faktörü düşük olduğu için düzeltmiyorum çünkü maliyetli. Kısaca bu oturum doğrulama için sana klasik session yolu görünüyor diyebilirim. Nette "how to implement secure login system" gibi aramalar yaparsan çok daha güzel yazılara ulaşabilirsin. Bu arada güvenli bir şey yapmak için hosting paketi vs satın alınmaz:) Örneğin ziyaretçi oturumunda (internetten rastgele girip sitede şifre girişi yapmayan kişi) kullandığım kod parçası neden vt üzerinde yazma hakkına sahip olsun? Cloudflare gibi reverse proxy'ye ya da sağlam bir firewall'a ihtiyacın olacak.
Not 3: Güvenliği nasıl mı sağlayacağım? Elden geçirilmiş yaygın ve okuyunca çözebildiğim kütüphaneleri kullanıp, güncellemeleri takip ederek. Anlayamadığım kodu -eğer çok lazım/acele/benim beceremeyeceğim değilse- kullanmaktan kaçınıyorum.
-
@YeniHarman ,
JWT , manyak bişeymiş kurgulayan iyi kurgulamış aradığım şey sanırım bu 3 parca kod gönder bilgileri içine göm kitap gibi oku . Mantığını kurmak yeterli :) Bilgiler için sana ve @KrypT'a çok teşekkür ederim :) OWASP da takip etsem iyi olacak teşekkürler bilgiler için :)
Kısayol
Şikayet
Özel Mesaj
Alıntı yap
Cevapla