Jag har en hemsida där användaren anger användarnamn & lösenord för att logga in, informationen användaren anger
kontrolleras mot en access-databas (placerad under webbhotellets www-root).
Om användaren har tillgång till sidan så lagras ett värde i en
sessions-variabel (övriga sidor på hemsidan kollar i sessions-variabeln om användaren har tillgång innan någonting visas,
annars redirectas han till login-sidan)
All info mellan användaren och webbhotellet skickas okrypterad,
ingen SSL eller liknande med andra ord.
Alltså, ingen FormsAuth eller liknande inbyggd ASP.NET säkerhet används på hemsidan.
Är detta säkert?
Om inte, kom gärna med konkret exempel på hur man kan knäcka
en sån här inlogging.
Utgångspunkten är ju alltid att ingenting är säkert, så i så fall så är svaret: Nej :)
Men Ok...några småsaker kanske:
1. MDB-filen är placerad under wwwroot.en vilket gör att en användare skulle kunna surfa till filen om den bara visste namnet på filen. Mha ett enkelt program kan man lätt loopa igenom möjliga kombinationer på namn (samt kolla vanliga filnamn) och på så vis ladda hem databasen.
2. Vad finns i databasen? Viktig kundinformation såsom E-post (som i dagens läge är viktigt att "gömma") och lösenord? Vad händer om någon öppna databasen från tex. webhotellet? Exponerar du i så fall eventuella användares lösenord? Dessa borde hasha.s så att de ej är läsbara. E-post adresser borde ev. krypteras med en symetrisk metod.
3. Du använder inte SSL vilket gör att någon kan "sniffa" upp all information som skickas. Även användarnamn/lösenord. Även här kan det gälla anställda på webhotell/ISP som kan sniffa.
4. Beroende på hur väl du har säkrat upp sidan med dels inparametrar/formulärdata som skrivs ut kan du vara känslig mot sk. "CSS - Cross Site Scripting", dvs. när en användare med hjälp av att manipulera formulärdata eller data som skrivs ut från tex. länkar. Detta möjliggör i så fall att användaren kan "Stjäla" någons "SessionID" och om du har spara inloggningsuppgifter där, så blir nu plötsligt användaren inloggad själv...sk "Session-kapning".
5. Om du inte kollar dels '-tecknet och att inparametrar i querystring verkligen är "tal" så kan din sajt vara känslig för sk "SQL-injection", dvs när en användare manipulerar querystringen/formulärdata för att på sätt göra egna frågor mot databasen.
