note 109218 added to function.split

* Vorteile von Sessions: - Aufwendig errechnete Daten speichern - Benutzerführung über bestimmte Reihenfolgen - Zwischenspeichern von Daten, bevor sie in die Datenbank kommen (Warenkorb) * Nachteile von Sessions: - Verteilung von Serverlast mit Sessions erschwert - Server merkt nicht, ob eine Session beendet ist - Lesezeichen von Seiten mit Sessions kˆnnen Probleme bringen * Session diebstahl nur durch raten möglich * Sessions sinnvoll absichern: - Zusätzliche IP/ID - Keine kritischen Infos in Sessions sichern * Erkennen von Manipulation - Zu viele oder zu wenige Form-Variablen - Falsche Übertragung (GET statt POST) - Session ID kein Standard * Reaktion auf Manipulation Sollte: - Verarbeitung abbrechen aber korrekte verarbeitung vortäuschen - Explizite Warnung ausgeben - Weiterleitung auf Fehlerseite Nicht: - Dienst einstellen - Ungefilterte Fehlermeldung - "Wegen Wartungsarbeiten nicht verfügbar" * SQL-Injection - Verhinderung: - Mit PDO binden - Datenbanknutzer nur limitierte Rechte (NIE root nutzer!) - Beispiel: - Erwarteter Aufruf: http://webserver/cgi-bin/find.cgi?ID=42 - SQL-Injektion: http://webserver/cgi-bin/find.cgi?ID=42;UPDATE+USER+SET+TYPE='admin'+WHERE+ID=23 * Benutzerkennung - Sorgsam mit umgehen - Schema wie Vorname.Nachname vermeiden - Keine E-Mail Adressen * Enumerationsangriff - Erkennungsmerkmale: - Viele zugriffe von der gleichen IP - Zugriffszahlen überschreiten bestimmte Anzahl (Script!) - Zugriffsparameter werden nach einem regelmäßigen Muster variiert - Abwehrmaßnahmen: - Captcha - Zeitverzögerung des Zugriffs (exponentielle zeitsteigerung) * Benutzer Authentifizierung - mittels HTTP-Protokoll über Webserver (Liste mit User/PW) - per PHP-Skript ($_SERVER['PHP_AUTH_USER'],...) - per HTML-Formular und PHP-Skript mit PW/ID Feld * SSL - Ziele: - Vertraulichkeit - Integrität - Authentifizierung - Gültigkeit des Zertifikat: - Zertifikat muss von Zertifizierungsstelle validiert werden - Ablauflaufdatum * Eigenschaften von Webanwendungen - Plattformunabhängig - On the Fly and need deployment - Lebenslange Entwicklung - Ererignisgesteuerter Client * Ebenenmodell Sicherheitskonzept 0. Netzwerk/Host (absicherung des netzwerks/host) 1. System (absicherung der systemsoftware) 2. Technologie (richtige wahl der technologie(https/http)) 3. Implementierung (keine programmierfehler(sql-inj.)) 4. Logik (absicherung von prozessen(sichere pw erzwingen)) 5. Semantik (täuschungsschutz (phishing schutz)) * Informations-Bekanntgabe verhindern - Keine Kommentare in Code ---- Server IP: 212.124.37.9 Probable Submitter: 95.90.226.94 ---- Manual Page -- http://www.php.net/manual/en/function.split.php Edit -- https://master.php.net/note/edit/109218 Del: integrated -- https://master.php.net/note/delete/109218/integrated Del: useless -- https://master.php.net/note/delete/109218/useless Del: bad code -- https://master.php.net/note/delete/109218/bad+code Del: spam -- https://master.php.net/note/delete/109218/spam Del: non-english -- https://master.php.net/note/delete/109218/non-english Del: in docs -- https://master.php.net/note/delete/109218/in+docs Del: other reasons-- https://master.php.net/note/delete/109218 Reject -- https://master.php.net/note/reject/109218 Search -- https://master.php.net/manage/user-notes.php