[kampfgnom]

Hallo,
ich hab nichts passendes gefunden deshalb ein neuer treath
Also ich möchte eine zeichen kette verschlüsseln und diese später aber auch wieder entschlüsseln,
Die sciherheit dabei muss nciht besonders groß sein, es geht vielmehr darum daten per GET-Variablen zu verschicken und sie so unkentlich zu machen das man nicht einfach mal nach belieben den Wert verändern kann....

Ich hoffe ich hab mich einigermasen verständlich ausgedrückt

grüße
Gabriel

[Artemis]

Das wäre etwas für dich:
http://www.blitzforum.de/forum/viewtopic.php?t=18461

[pepe24]

Grundsätzlich ist es nicht gut, sensible Daten per Get zu übergeben. Denn wer wirklich was böses will (und sich auskennt), der macht das dann auch.

Aber trotzdem ein Gedanke: denkbar wäre es, Buchstaben und Zahlen mit rot13 / base64 zu behandeln und dann noch nach einem eigenen Schlüssel von Dir die Buchstaben zu substituieren. (z.B. u->a, A->Z, - -> .). Das sollte jedenfalls für den Laien eine große Hürde sein.

Auch denkbar wäre es, von den Get-Daten einen Hash zu machen und auf den Folgeseiten zu prüfen, ob dieser sich geändert hat.

Nichtsdestotrotz lieber POST nehmen.

Gruß

[Basti]

Hi Gabriel.

Zitat von kampfgnom

Ich hoffe ich hab mich einigermasen verständlich ausgedrückt

Für mich nicht so ganz.

Die sciherheit dabei muss nciht besonders groß sein, es geht vielmehr darum daten per GET-Variablen zu verschicken und sie so unkentlich zu machen das man nicht einfach mal nach belieben den Wert verändern kann....

Also was nun? Nicht besonders sicher oder nicht erkennbar und manipulierbar machen?

Prinzipiell sehe ich die zwei Wege, die Daten entweder zu verschlüsseln oder die Daten auf dem Server (in der Session) zu speichern und über einen Schlüssel zugänglich zu machen, der dann eben als Parameter durchgegeben wird.

Für Ersteres findest du hier was:
http://www.php.net/manual/en/ref.mcrypt.php
Die Anzahl der Zeichen in einem GET-Request ist beschränkt - eignet sich also nur für wenige Daten, die es weiterzugeben gilt.

Letzteres ist ein wenig aufwändiger umzusetzen, aber eine Feine Sache. Ich benutze das z.B., um bei internen Redirects Systemmeldungen mitzugeben ("Die Seite wurde erfolgreich angelegt", ...), will das aber später ausweiten auf ein Request-Objekt, dem eben lesbare und versteckte Parameter mitgegeben werden können und aus dem dann Links, Redirects oder Formulare gemacht werden können.

Wichtig ist ggf., dass die Schlüssel nicht fortlaufend sind, also eher via md5(uniqid(rand(), true)) erzeugt werden.

Basti

[MrNiceGuy]

@pepe: Wer wirklich manipulierte Daten übergeben will, tut dies egal, ob mit GET oder POST. Die Konsistenz der Daten muss so oder so immer geprüft werden!

Eine andere Alternative wäre wohl eine asynchrone Verschlüsselung, jedoch sollte die mit JavaScript wohl doch etwas aufwendig zu realisieren sein. Der "Kosten"-Nutzen-Faktor wäre hierbei jedoch wohl so bescheiden, dass eine einfache Stromchiffren-Verschlüsselung wohl die einfachste, schnellste und für die nicht so hoch geforderte Sicherheit beste Methode darstellt.

[pepe24]

Zitat von MrNiceGuy

[...] jedoch sollte die mit JavaScript wohl doch etwas aufwendig zu realisieren sein. [...]

Eine Clientseitige Verschlüsselung zu verwenden ist ja sowieso völlig sinnfrei.

[Basti]

Zitat von pepe24

Eine Clientseitige Verschlüsselung zu verwenden ist ja sowieso völlig sinnfrei.

Nicht Pauschal. Nur hier macht es keinen Sinn.

Basti

[MrNiceGuy]

Zitat von pepe24

Eine Clientseitige Verschlüsselung zu verwenden ist ja sowieso völlig sinnfrei.

Bei asymmetrischer (wie kam ich nur auf asynchron?) Verschlüssel macht es sehr wohl sinn, siehe hierzu auch https. Allerdings kann man dann auch direkt jenes nutzen

Was aber die Übermittlung von Daten angeht, ist es egal, ob man GET oder POST nutzt.

[kampfgnom]

Also ich bedanke mich für die vielen Antworten,
werde mir die Links mal anschauen.
Mir geht es einfach nur darum, das ich eine art Browser-game schreiben möchte (wie lange das dauert ist 2. ^^) welches aber so geschriebn ist das die zeiten fürs bauen extrem kurz sind und man sowas auf LAN´s nebenbei spielen.
Da gibt es keine Hacker... (zumindest nicht auf den LAN´s wo das gespielt werden soll....)
Aber man soll trotzdem so ein paar daten nicht einfach erkennen... das währ ja sinnfrei

grüße
Gabriel