Developing.ru

Опасно ли передавать пароль через URL, типа url.php?pass=x, если страницу с этим паролем загружаю только я. :?:
Если - да, то в чём может быть риск?
Какова тогда альтернативная методика передачи паролей?

Вопрос возник на основании ответа модератора liveinternet:

А вообще паролей не должно быть в URL. Это ваша серьезная
ошибка, URL может быть доступен в сотнях разных мест, а не
только в статистике счетчика.

URL обычно можно как-то сосниффить.

Поэтому грамотные люди юзают сессии.
Начинаешь сессию с session_start();
после этого сохраняешь пароль в $_SESSION['pass']

Cессии используют session_id , который передается с каждым запросом.
session_id тоже можно сосниффить.
Поэтому в сессии надо сохранять IP адрес, откуда пришел запрос, и потом проверять, что запрос идет именно от той машины,
которой ты выдал сессию.
$_SESSION['remote_ip']=$_SERVER['REMOTE_ADDR'];
А также
$_SESSION['remote_inner_ip']=$_SERVER['X_FORWARDED_FOR'];

Можно еще прикрутить md5, чтобы уж наверняка =)))
Но со сниффингом как-то все неинтересно. Кстати как он вообще осуществляется? Я никому не хочу навредить, просто на носу проект, где нужно бороться с подобной гадостью...
Вот, Absurd, уже предложил один способ решения, а как быть, если не привязываться к IP? SSL?

Если есть возможность вставлять картинки на атакуемый ресурс и есть доступ к хостингу со скриптами, то элементарно.
Пишешь скрипт, который сохраняет в лог все поля запроса, а в ответ отправляет пользователю gif-файл, содержащий один пиксель прозрачного цвета.
Если возможности вставлять картинки нет, то все равно чего-то можно сообразить в части случаев.

Absurd, данные выдать за картинку? И что это даст? Что-то толком не вьеду

Цитата: "Поэтому грамотные люди юзают сессии."

А что если просто использовать cookies?

Напиши скрипт на мазафака перле, который сохраняет в лог *весь* запрос от пользователя
и в ответ отправляет такую фиговину:

HTTP/1.0 200[cr/lf]
Content-Length: [длина того что лежит после пустой строки в октетах][cr/lf]
Content-Type: image/gif[cr/lf]
[пустая строка][cr/lf]
[Гиф файл с пикселем прозрачного цвета.]

После этого
1) Воткни его на страницу в [img]куда%20ты%20положил%20скрипт[/img]
2) Зайди на эту страницу.
3) Посмотри, чего лежит в логе.

А что если просто использовать cookies?

Сессии обычно реализованы через кукизы (зависит от настроек PHP). Только ими пользоваться легче.

Кстати как он вообще осуществляется?

Не вдаваясь в подробности: берёшь сниффер и ловишь все TCP/IP пакеты
Бороться с этим можно только применяя VPN соединение, при котором все пакеты шифруются.
В противном случае, как бы ты не изгалялся, существует возможность, что тебя поимеют. Как вариант - SSL соединение с отдельно взятым сервером. Ты кстати, зря его боишься - тебе только нужно сертификат на сервере установить, а дальше связка браузер - сервер будут выполнять за тебя всю работу, т.е. дополнительно программировать ничего не придётся.

Что же касается передачи пароля через URL, то это неприятно потому, что запрос много где будет отсечивать - начиная с лога у провайдера, и заканчивая логами всевозможных маршрутизаторов, доступ к которым при желании получить можно.

а насколько опасна передача данных через форму/POST?