sokitrop schrieb:werden sich sicher bald ein paar Fachleute finden, die die PW-Sicherheit bestätigen werden.
Für einen "Fachmann" sind meine Programmierkenntnisse wohl schon etwas eingerostet.
Ich versuche aber an Hand eines Beispiels zu erklären wie das ganze funktioniert.
Code-Segment aus der Seite "Einstellungen" wo die Liga abgefragt wird. Dafür sind die Login-Daten nötig und werden auch verwendet:
Meine Kommentare: //schauen so aus
die wichtigen Teile hab ich fett markiert
$username = $_POST['ezm_name'];
$passwort = $_POST['ezm_passwort']; //auslesen der Benutzereingabe aus dem Passwortfeld
$siteRoot = "www.eiszeit-manager.de";
$loginUrl = $siteRoot.DIRECTORY_SEPARATOR.'login.php';
$loginDaten = "benutzername=".$username."&passwort=".$passwort; //zusammen fügen der Daten
$hauptseiteUrl = $siteRoot.DIRECTORY_SEPARATOR.'buero'.DIRECTORY_SEPARATOR.'index.php?content=splash';
$spielplanUrl = $siteRoot.DIRECTORY_SEPARATOR.'buero'.DIRECTORY_SEPARATOR.'index.php?content=spielplan';
$tabelleUrl = $siteRoot.DIRECTORY_SEPARATOR.'buero'.DIRECTORY_SEPARATOR.'index.php?content=liga';
$logoutUrl = $siteRoot.DIRECTORY.SEPARATOR.'logout.php';
$curl = curl_init();
curl_setopt($curl, CURLOPT_URL, $loginUrl);
curl_setopt($curl, CURLOPT_FOLLOWLOCATION, 1);
curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($curl, CURLOPT_ENCODING, "");
curl_setopt($curl, CURLOPT_COOKIEJAR, $cookieFile);
curl_setopt($curl, CURLOPT_COOKIEFILE, $cookieFile);
curl_setopt($curl, CURLOPT_USERAGENT, 'Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.1.2) Gecko/20090729 Firefox/3.5.2 GTB5');
curl_setopt($curl, CURLOPT_POST, 1);
curl_setopt($curl, CURLOPT_POSTFIELDS, $loginDaten); //Anmelde Daten setzen
$result = curl_exec($curl); //Abfragen ausführen
curl_setopt($curl, CURLOPT_URL, $hauptseiteUrl);
$resultQuellPlan = curl_exec($curl);
curl_setopt($curl, CURLOPT_URL, $spielplanUrl);
$resultQuellPlan = curl_exec($curl);
curl_setopt($curl, CURLOPT_URL, $tabelleUrl);
$resultQuellTabelle = curl_exec($curl);
curl_setopt($curl, CURLOPT_URL, $logoutUrl);
curl_exec($curl);
curl_close($curl); //URL inkl. Benutzer-Name und Passwort wird geschlossen und nicht weiter verwendet
Da im Zeitraum in dem die User-Daten verwendet werden keine weitere Zuweisungen, Datenbankzugriffe oder Ausgaben erfolgen. Kann ich bestätigen, dass diese nirgends zwischengespeichert werden und weder ein Nutzer noch der Programmierer diese zu Gesicht bekommt.
Auch der generierte Login-Link wird nirgends angezeigt.
Die exakt selbe Vorgehensweise findet sich auch auf den Seiten "Eigenes Team" und "Gegner" wieder.
Von meiner Warte aus also absolut unbedenklich.
Jeder der die im FireFox/Chrome/IE eingebauten Passwort-Manager nutzt setzt sich einer bei weitem höheren Gefahr aus.
lg
Markus