PHP-login sicher?

[Moyyer]

Hallo

Programmiere/Schreibe gerade an meiner neuen Homepage, bei der auch ein Login für vertrauliche Daten dabei ist.
Übergeben werden von einer HTML-Seite 2 Variablen: nn, vn

Mein Php-Code lautet (vereinfacht dargestellt):

Delphi-Quellcode:

if ((nn == admin) AND (vn == xyz))
{


Zeige vertrauliche Daten</p>
}
else
{


Falscher Login</p>
}

Würde gern von euch Wissen, ob dieser Login sicher ist bzw. ob es möglich ist die übergebenen Variablen zu manipulieren.
Bei Verbesserungen wär ich für Quellcode dankbar

Gruß Moyyer

[Matze]

Wie liest du denn die Variablen ein?

[mkinzler]

Wie übergibst du die Variablen (POST/GET)? Verwendest du SSL?

[Moyyer]

Also Variablen werden über ein Formular (2x Eingabefeld + 1x Button) abgeschickt.

Hab aber bei meinem Code die $-Zeichen vergessen. Hier die Korrektur:

Delphi-Quellcode:

if (($nn == admin) AND ($vn == xyz))
{


Zeige vertrauliche Daten</p>
}
else
{


Falscher Login</p>
}

Variablen werden über POST übermittelt. Kein SSL.

[mkinzler]

Eine Post-Übergabe ist ei klein wenig schwerer zu manipulieren aber nicht wirklich. Ohne SSL ist aber nur bedingt sichere Seiten zu entwickeln.

[Matze]

Wenn du irgendwo das Admin-Passwort als MD5-Hash hinterlegst (bsp. in der Datenbank) und beim Einloggen den Hash des eingegebenen Passwortes mit dem in der Datenbank prüfst, kann eigentlich nicht viel passieren. Natürlich kommt es darauf an, wie du die Eingaben auswertest und wie dein Server konfiguriert ist. Einfach und sicher, aber nicht sonderlich schön beim Login ist ein Passwortschutz mittels htaccess zum Verzeichnis-Schutz. Dann popt dieses Eingabeformular auf, mit dem man sich authentifizieren muss.

[Moyyer]

Werd mir die genannten Vorschläge mal zu Gemüte führen. Thx @ all

[Coder]

mhh, was spricht gegen einen klassischen htaccess login ?

sieht professionell aus, ist sicher.
leicht zu administrieren.
Fragen? PN an mich oder frage hier im Forum.

Grüße, Coder

[Matze]

Das wurde doch bereits genannt und ist so primitiv, dass man es über Google sofort finden würde: htaccess Passwort.