Voir si on a des nouveaux minimessages - Page 1

yAro > tu avais parlé à un moment (sur IRC) d'une page permettant de savoir facilement si on a un nouveau mini-message, en me disant de te le rappeler (mais j'ai oublié )

Est-ce que ça serait possible ?

G pas trouvé de systeme simple & fiable pour créer cette fonction

dommage  

quels sont les problèmes ?
(au passage, je me suis trompé dans le sujet (-sujet+mmsg)... si un gentil admin passe par là... )

En fait j'avais créé un systeme de passkey, comme pour les trackers bittorent, càd une clé que tu peux (re)générer à partir de ton profil. En la passant en parametre à une page tu indiques que c'est toi et tu peux donc avoir accès au fait que tu as un mmsg. Mais le problème est que si qqun intercepte cette clé il peut voir les informations sans aucun soucis.

Vu que le mot de passe est saisi en mode non sécurisé, le problème existe déjà à l'heure actuelle, non ?

(merci gentil admin ! )

yAro (./4) :
En fait j'avais créé un systeme de passkey, comme pour les trackers bittorent, càd une clé que tu peux (re)générer à partir de ton profil. En la passant en parametre à une page tu indiques que c'est toi et tu peux donc avoir accès au fait que tu as un mmsg. Mais le problème est que si qqun intercepte cette clé il peut voir les informations sans aucun soucis.

Je ne vois pas trop le problème, vu que de toute façon, on peut toujours faire du vol de cookie ou de mot de passe, non ? (puis savoir si on a un mmsg, sans avoir accès au contenu, ce n'est pas non plus vital )

et un challenge response basé sur le mdp du compte?

yaronet.com/mmsgdist.php?user=squalyl&askchallenge
=>répond un truc aléatoire

calcul de la réponse=sha1(concat(challenge obtenu, sha1(pass))

yaronet.com/mmsgget?user=squalyl&response=<la réponse>

ça se fait en 2 URLs, ouébof.

ça a toujours été mon souci aussi de faire ce genre de truc sans risquer l'interception.

yAro (./4) :
En fait j'avais créé un systeme de passkey, comme pour les trackers bittorent, càd une clé que tu peux (re)générer à partir de ton profil. En la passant en parametre à une page tu indiques que c'est toi et tu peux donc avoir accès au fait que tu as un mmsg. Mais le problème est que si qqun intercepte cette clé il peut voir les informations sans aucun soucis.

à la rigueur, savoir que M. Dupont a ou n'a pas de minimessages ça ne me parait pas vraiment critique comme données, suffit juste de ne pas donner accès au mmsgs par cette méthode, juste au flag a ou n'a pas...

Flanker (./1) :
une page permettant de savoir facilement si on a un nouveau mini-message

Euh, quelque chose m'échappe ou il suffit d'aller sur n'importe quelle page pour ça (chez moi ça s'affiche en rouge sur fond blanc et c'est inloupable )

orienté "bot"

Oui, mais il faut se logguer ^^ là, l'idée est de pouvoir récupérer régulièrement (et facilement) l'information avec une seule ligne de commande pour faire afficher l'information par mon OS

Bah, on peut deja + ou - le faire avec le systeme actuel, pas forcement tres efficace, mais ça reviens au meme, on se log on recupere une page (genre mes sujets qui est pas trop lourde) et pouf on peut savoir si on a ou non. c'est autant voir moins sécurisé que le coup du chalenge et/ou clef "piquable"

Mais un yN entierement "bot-able" ça m'arrangerais pour un mini projet

vince (./8) :

yAro (./4) :
En fait j'avais créé un systeme de passkey, comme pour les trackers bittorent, càd une clé que tu peux (re)générer à partir de ton profil. En la passant en parametre à une page tu indiques que c'est toi et tu peux donc avoir accès au fait que tu as un mmsg. Mais le problème est que si qqun intercepte cette clé il peut voir les informations sans aucun soucis.

à la rigueur, savoir que M. Dupont a ou n'a pas de minimessages ça ne me parait pas vraiment critique comme données, suffit juste de ne pas donner accès au mmsgs par cette méthode, juste au flag a ou n'a pas...

Cette information n'est peut-être pas critique, mais je pense que yAro voulait utiliser le même principe pour d'autres fonctionnalités semblables et qui seraient pour le coup plus critique...

yAro (./4) :
En fait j'avais créé un systeme de passkey, comme pour les trackers bittorent, càd une clé que tu peux (re)générer à partir de ton profil. En la passant en parametre à une page tu indiques que c'est toi et tu peux donc avoir accès au fait que tu as un mmsg. Mais le problème est que si qqun intercepte cette clé il peut voir les informations sans aucun soucis.

C'est pas ce que tu fais d'un certain point de vue avec les cookies ?

Non le passkey est passé en GET et du coup ca ouvre plein de possibilités, apparaitre dans les referers entre autres.

Pour le get on est ok, mais si le but c'est de permettre en partie l'utilisation d'automates avec yN, il peut très bien être envoyé en POST. A moins que le passkey ne servais que pour pouvoir acceder a yN comme si tu etait loggé, mais sans l'être

Automates si tu sais développer, quand je regarde la majorité des logiciels (lecteurs RSS par ex), ca ne fonctionne que par GET