Onderwerp: Link beveiligen tegen kopiëren

(meer info google: generate unique url php)Klik voor voorbeeld -> http://www.oreillynet.com/pub/a/php/...time_URLs.html.

Ik had het toendertijd zelf gemaakt maar dit doet (volgens mij) wat ik bedoel. Het komt er in principe op neer dat PHP (in dit script) een unieke string maakt die hij in een bestand ramt en op een /tmp plek zet. Dit bestand wordt weer uitgelezen door een ander PHP script(het download script) dat kijkt of de unieke PHP string die hij mee krijgt via get ook daadwerkelijk bestaat. Zodra hij een match tussen een regel in het bestand en de unieke code vind, verwijder(d/t?) hij die regel en plaatst hij de overige regels terug in het bestand. Vervolgens kan de gebruiker de link niet meer gebruiken.

Ik weet alleen niet hoe snel het wordt als je veel schrijf en lees acties naar het bestand(met de unieke codes) moet uitvoeren. Het voorbeeld script locked het bestand namelijk volledig en alle processen zullen dus moeten wachten totdat ze aan de beurt zijn(gebeurd nu natuurlijk ook al gedeeltelijk door het OS op je server). Misschien moet je meerdere bestanden gebruiken o.i.d. maar dat zul je vanzelf wel merken.

Je kunt het ook heel omslachtig maken om de link te kopieren. Laat de link een javascript functie aanroepen, die door middel van een aantal andere functies een link genereert waar hij de pagina naar door stuurt. Eigenlijk heb je dan een soort codering van de URL, maar zelfs die codering is te kraken.

Heb je dus helemaal geen PHP voor nodig.

Het gaat om een download? Van de betreffende download is verder altijd de locatie te achterhalen, tenzij je hier een proxy tussen gaat zetten.

Oorspronkelijk geplaatst door eweps

Je kunt het ook heel omslachtig maken om de link te kopieren. Laat de link een javascript functie aanroepen, die door middel van een aantal andere functies een link genereert waar hij de pagina naar door stuurt. Eigenlijk heb je dan een soort codering van de URL, maar zelfs die codering is te kraken.

Heb je dus helemaal geen PHP voor nodig.

Klopt alleen is dit veel meer werk en werkt het veel minder goed, de link kan namelijk rustig nog een keer bezocht worden(ga er eigenlijk niet vanuit dat dit mag).

Oorspronkelijk geplaatst door eweps

Het gaat om een download? Van de betreffende download is verder altijd de locatie te achterhalen, tenzij je hier een proxy tussen gaat zetten.

Hoeft niet met een proxy, als je zorgt dat je webserver goed beveiligd is kan je zorgen dat de bestanden niet benaderbaar zijn via de browser en alleen via PHP aangeboden kunnen worden(toch?).

Verder zou ik graag willen weten hoe jij van bestanden de locatie kan achterhalen als ze niet aangeboden worden als http://www.domain.com/downloads/bestanden/film.avi, dan weet ik namelijk wat ik verder nog moet beveiligen

Voor een bepaalde toepassing zetten we in de sessie een lijstje met ID's van bestanden die iemand mag downloaden (kunnen documenten maar zelfs ook plaatjes van de website zijn). Alle bestanden zijn een enkel php script met een ID en als er dan een GET wordt gedaan dan wordt in dat script aan de hand van het ID gecontroleerd of deze sessie dat bestand wel mag hebben. Zo ja dan wordt het bestand doorgegeven, zo nee dan geven we een eenvoudig "mag niet" bestandje terug. De bestanden zelf staan veilig in een folder buiten de documentroot.