שלום לכולם,
ראיתי לאחרונה רעיון מאוד יפה שנוסף בפורומים החדשים של vBulletin.
יש אפשרות לקשר את החשבון פורום של המשתמש, דרך החשבון שלו ב-FB.

ככה, שאם המשתמש נותן אישור לאתר להכנס לחשבון FB שלו, ופעם אחת להתחבר עם השם משתמש שלו לאתר, אז כאשר הוא ילחץ על הכפתור "התחבר דרך FB", אוטומתי האתר יזהה שמדובר במשתמש X ואז יחבר אותו מבלי לבקש אפילו סיסמה או שם משתמש !

הרעיון שעלה לי בראש, זה לבנות טבלה שיש שמה את ה-ID של המשתמש באתר ו-ID של המשתמש ב-FB. וכאשר הוא ילחץ על התחברות דרך FB, אז אפשר לצרף שמה את כל השדות.
וכאשר כבר יש לי במסד שמה את ה-ID שלו שמקושר ל-ID של FB, אז להריץ התחברות ולשלוף את הסיסמה מהמסד נתונים ואת היוזר שלו.

השאלה שלי, האם יש פה איזה חור אבטחה שאפשר לעקוף? יכול לקרות מצב של "פאשלה" מסוימת? מה אם ישחקו בעוגיות?
איך אפשר להיות בטוח שהכל יעבוד בדרך נכונה מבלי באגים.
כי את הקוד כבר הכנתי, אבל אני פשוט מפחד מהדבר הזה..


תודה רבה לכולם.

יקיר.
מילים לשירים חסידיים.

Open ID ?

שו?

יקיר.
מילים לשירים חסידיים.

אין שום קשר, אפילו לא קרוב, ל Open ID...

הוא סך הכל רוצה לשמור את הFB ID שלו, ככה שברגע שהמשתמש כן התחבר דרך פייסבוק לאתר, הוא יוכל לזכור איזה פרופיל פייסבוק מקושר למשתמש באתר שלו.

ותשובה לפותח האשכול:
לא, אין עם זה שום בעיה.
הבעיה היחידה זה שאם משתמש השאיר את הפייסבוק שלו מחובר, אז מעבר לגישה לפייסבוק יהיה לאותו בנאדם גם גישה לאתר שלך. כמובן שזה רק כשהוא על אותו מחשב... ואם המשתמש כבר היה טיפש והשאיר את הפייסבוק פתוח, אז אין לך מה לעשות...

לא הבנתי כלום, מה זה התחבר דרך פייסבוק לאתר שלך?

גוגל, מכיר?

http://blog.facebook.com/blog.php?post=41735647130

(אבל הבנתי שזה מוחלף בזה: http://www.insidefacebook.com/2010/...-plugins-at-f8/ )

נמאס לכם לזכור סיסמאות? לחצו כאן!

חשבתי שהכוונה היא לעשות לוג אין לאתר באמצעות פייסבוק... או קיי...

----

הבנתי... גם אותנטיקציה, וגם API מול פייסבוק...

זה גם יודע לעשות את זה למיטב ידיעתי.

אפשר לעשות דברים כאלה באמצעות API keys. זה לא שונה יותר מדי מאיך ש reCAPTCHA ו Akismet עובדים...

נמאס לכם לזכור סיסמאות? לחצו כאן!

זה גם הרבה יותר מזה... זה מאפשר גם לך כמפתח אתר, לזהות משתמש, וגם לדבר עם הפייסבוק שלו, למשוך דברים מהפרופיל, לפרסם דברים... דווקא דיי חזק...

http://developers.facebook.com/docs/guides/web

http://en.wikipedia.org/wiki/Facebook_Platform

1. תקרא על זה בלינק ששמתי.

2. אף משתמש עם גרם שכל לא יתן לך את הסיסמת פייסבוק שלו.

3. אתה חייב שהחיבור בינך ללקוח יהיה מוצפן, וגם בינך לפייסבוק, אחרת אפשר לגנוב את כל העוגיות.

אז ככה, אין שום דרך לפרוץ את האופציה הזו אם לזייף את העוגיות או משהו כזה?
זה אומר, שאפשר לעשות את הפעולה שהצעתי לכתחילה שבכתחילה?

יקיר.
מילים לשירים חסידיים.

תלוי מה אתה שומר בעוגייה...
אבל יש לך API מוכן מפייסבוק, עם הסבר איך לממש הכל...

מה לא מובן בשאלה שלי.
אני יודע שיש API של פייסבוק (למרות שהרפרס שלהם ממש גרוע),
השאלה שלי, האם עוגייה שמגיעה מפייסבוק היא 100 אחוז אמינה? אין מצב שיוכלו לזייף אותה?

בכל אופן, אני מחבר את המשתמש לאתר שלי כאילו הוא עשה LOGIN לכל דבר.

יקיר.
מילים לשירים חסידיים.

תעצור לחשוב שניה.
אם יכלו לזייף את העוגייה מפייסבוק, גם יכלו לפרוץ באותה שיטה לחשבונות בפייסבוק.
אתה חושב שההגנה שלך יותר טובה משל פייסבוק?

אתה צודק.
אבל השאלה שלי, האם מספיק להחזיק במסד שלי רק את ה-ID של FB ואת ה-ID של היוזר אצלי?

או אולי יש איזה סיסמה או משהו TOKEN כזה שאפשר להכניס שמה?

האם מספיק שילוב ID-ים וזהו?

יקיר.
מילים לשירים חסידיים.

כן, למה אתה צריך עוד פרטים?
מבחינת אבטחה אין שום צורך, אולי מבחינת האתר שלך תצטרך לשמור עוד פרטים..

כן, אבל אז אתה חייב לאמת את המשתמש דרך פייסבוק...