iframe datensicherheit

freeek

Trainee

Posts: 33

Wednesday, October 19th 2011, 6:19pm

iframe datensicherheit

Hallo liebes Forum

ich lese schon seit einiger Zeit hier im Forum mit, da hier meiner Meinung nach sehr gute Antworten geliefert werden. Deswegen möchte ich mich mit meinem Problem auch euch wenden und hoffe ihr könnt mir helfen.
Ich bin "Entwickler" in einem kleinen Online-Projekt, bei dem wir Nutzern kleinere Homepage-Tools anbieten. Dabei wird jedem Benutzer ein Ordner zugeteilt, über diesen dann die entsprechenden Apps abgerufen werden können. Leider können auf den meisten Seiten, die unsere Kunden betreiben, keine PHP-Scripte eingebaut werden, weswegen alles über iframes gelöst wird/werden muss.
lange Rede, kurzer Sinn: wie schaffe ich die Website möglichst sicher zu identifizieren? Im Moment lasse ich einfach die URL auslesen, den Ordnernamen auslesen über den das Script eingefügt wird und nehme diese Werte dann um die Einträge zuzuordnen. Wie kann ich das noch verbessern, dass Manipulation möglichst unmöglich ist und die Einträge nicht auf den falschen Websiten angezeigt wird?

mfG,
freeek

This post has been edited 1 times, last edit by "freeek" (Oct 19th 2011, 8:03pm)

Torsten

Professional

Posts: 293

Wednesday, October 19th 2011, 10:06pm

Hm, es sollte doch durchaus sicher "genug" sein mit der "anfragenden Adresse" zu arbeiten, oder nicht?

Manipulierbar ist, wenn die Infos öffentlich sind und nicht mit PHP bzw einer API gearbeitet wird doch im Endeffekt alles, oder nicht?

freeek

Trainee

Posts: 33

Thursday, October 20th 2011, 3:15pm

ich weiß nicht, kann/soll ich vielleicht einfach noch einen hash mit übergeben (zumindest beim ersten mal), weil mir das mit nur einer url-überprüfung zu schwach erscheint :/

bastey

Intermediate

Posts: 122

Thursday, October 20th 2011, 6:57pm

Du lässt dir die Adresse geben, wo das Modul laufen soll: http://usr.moep.de/foo/bar.html
Dann prüfst du, wo der Besucher herkommt. Alles was nicht die Adresse ist, sollte falsch sein.

Wenn du keine Möglichkeit hast, direkt die beiden Server miteinander kommunizieren zu lassen (fopen), kannst du nicht viel anders machen.

Torben Brodt

Administrator

Posts: 8,454

Thursday, October 20th 2011, 7:58pm

Du kannst den Referer auswerten. Das hilft dir zwar nicht gänzlich gegen Manipulation (weil man den Referer manipulieren kann)
Damit kann man zumindest nicht clientseitig von anderen URLs dein Widget aufrufen.

Damit man nicht serverseitig mit manipuliertem Referer-Header dein Widget aufruft (vermutlich ohne Mehrwert) kannst du noch zusätzlich ein IP Counter einbauen, der maximal n Requests pro Client und Zeiteinheit erlaubt.

Latest blogs: Neuer EX4 Server, Java EE Summit im Juni in München, Kostenlos zur Cebit + Windows 8 Entwickler Schulung

Torsten

Professional

Posts: 293

Thursday, October 20th 2011, 8:07pm

Der "Hash" wäre ja, denke ich, für alle sichtbar, könnte also im Fall der Fälle auch einfach kopiert werden.

Ich denke das prüfen der URL reicht, mehr kann ich dazu leider nicht sagen ...
Alles was im Browser ankommt ist ja für jeden sichtbar, also sicherlich auch manipulierbar, ich weiß nicht, einerseits ist die URL als Wert ja schon "sicher genug", anderseits soll man das was $_SERVER überträgt ja auch faken können.
Eventuell kann man da ja was mit Handshakes oder so machen kann ...

freeek

Trainee

Posts: 33

Friday, October 21st 2011, 2:55pm

danke für die antworten.
ich denke, wenn ich das auch nur teilweise umsetze, was ihr alles vorgeschlagen habe, sollte/müsste das als sicherheit reichen.