Login-Form-Attribute- im URL-Status

[majd]

hallo Leute,
ich habe ein Login-System auf der Seite. es funktioniert einwandfrei. aber nur die anzeige der Login-Attribute im URL stört mich sehr.

ich meine bei SUBMIT steht im URL folgendes z.b. : action=login&password=abc&...etc.
wie kann man das vermeiden.

ich benutze ein Servlet der die weiterleitung und fast alles übernimmt. ich benutze natürlich auch ein Bean, in dem man die Attribute der User aus einer DB speichert.

Gruß,
majd

[HHeneke]

Sende das Login-Formular doch einfach mit POST, nicht mit GET:

<form action="login.jsp" method="post">
<!-- Dein Login-Formular -->
</form>

Gruß
Hendrik

[majd]

Sende das Login-Formular doch einfach mit POST, nicht mit GET:

<form action="login.jsp" method="post">
<!-- Dein Login-Formular -->
</form>

Gruß
Hendrik

danke Heneke, aber wenn man im Firefox nachsieht, es wird doch trotzdem so geschickt , so wie es ist, aber es war mein Problem, die Fragestellung war falsch. was ich wollte ist: wie lass ich das gar nicht so in diesem Form geschickt, kann ich die Werte erst verschlüsseln bevor die daten zu Server übertragen werden ? dann wird man doch anstatt Password=abc ---> password=HGFDKD§$&/§$7&&§$ so etwas!!!. erst verschlüsseln , das problem dass ich an die Werte erst ran komme,wenn man auf SUBMIT klickt. und genau da sind die Daten SCHON im header. wie greife ich auf die Werte zu bevor man submit click dann könnte ich die unsichtbar machen mit method=post.

Danke
majd

[HHeneke]

Es wäre doch viel einfacher, alles über eine SSL-verschlüsselte Verbindung abzuwickeln. Alle anderen Varianten (z.B. die Eingaben vor dem Absenden irgendwie mit JavaScript zu verschlüsseln) sind ganz schön kompliziert. Außerdem erreichst Du damit keine höhere Sicherheit: Entweder, Du gibst den Verschlüsselungsalgorithmus für jedermann sichtbar direkt im JavaScript preis oder du verschlüsselst asynchron serverseitig (AJAX), wobei Du das Passwort dann wieder im Klartext an den Server schickst um es zu verschlüsseln.

Eigentlich fällt mir nur eine Variante ein, die halbwegs sicher ist: Aus dem eingegebenen Passwort mittels JavaScript einen Hash berechnen und den Hash anstelle des Klartext-Passworts an den Server schicken. Serverseitig musst Du dann natürlich das z.B. in einer Datenbank gespeicherte Klartext-Passwort auf Basis des gleichen Algorithmus hashen und beide Hashes vergleichen.

Kurzum: Alles sehr kompliziert, wohingegen Du mit SSL alles viel einfacher haben kannst.

Gruß
Hendrik

[majd]

Es wäre doch viel einfacher, alles über eine SSL-verschlüsselte Verbindung abzuwickeln. Alle anderen Varianten (z.B. die Eingaben vor dem Absenden irgendwie mit JavaScript zu verschlüsseln) sind ganz schön kompliziert. Außerdem erreichst Du damit keine höhere Sicherheit: Entweder, Du gibst den Verschlüsselungsalgorithmus für jedermann sichtbar direkt im JavaScript preis oder du verschlüsselst asynchron serverseitig (AJAX), wobei Du das Passwort dann wieder im Klartext an den Server schickst um es zu verschlüsseln.

Eigentlich fällt mir nur eine Variante ein, die halbwegs sicher ist: Aus dem eingegebenen Passwort mittels JavaScript einen Hash berechnen und den Hash anstelle des Klartext-Passworts an den Server schicken. Serverseitig musst Du dann natürlich das z.B. in einer Datenbank gespeicherte Klartext-Passwort auf Basis des gleichen Algorithmus hashen und beide Hashes vergleichen.

Kurzum: Alles sehr kompliziert, wohingegen Du mit SSL alles viel einfacher haben kannst.

Gruß
Hendrik

hi,

ich glaube dass SSL ne reine Lüge ist, istalliere dir für Firefox ein extra Plugin der dir alle requests zeigt, und guck mal rein, du siehst dass dein passwort bei Hotmail sogar im klaren Text gesendet wird. obwohl da auch SSL benutzt wird. also wenn einer im Netz auf meinen Datenstrom interesiert ist und die abhört, kann doch die daten rausfinden. ich hofe dass ich SSL-Veschlüsselung falsch verstanden habe, da ansonsten wäre *****.
keine Ahnung. ich werde doch SSL vertrauen .

danke Hendrik