ITRiese.de code-snippets, helpfull stuff and some crap…

Thema: Sicherheit im Web Back in Action

Einleitung Thema Sicherheit im Web

Das Internet ist voll von "bösartigen" Nachrichten über Hacker, Viren, Malware, Spybots und Trojanern. Doch wie soll man sich Schützen? Mindestens genau so viele Nachrichten über Hacker gibt es Blogeinträge, die alle Tipps vermitteln wollen wie sich der Internetuser vor Schadprogrammen schützen sollte. Von den sogenannten Internet-Tarnkappen "Proxy-Servern" bis zu sicheren Browsern, SSL-Zertifikaten oder einfach Offline bleiben ;). Die Frage die hier bei zustellen ist wieso wird so aktiv versucht den Benutzer an sich sicher zu machen, anstatt die Anbieter. Ich denke das Problem hierbei liegt zum größten Teil daran, dass es ~ 82 Millionen potentielle Internetnutzer gibt. Dazu kommt die aktuelle .de-Domainanzahl, welche bei etwa 14.419.721 (Stand: 26.05.2011, Quelle denic.de) liegt. Nach ein wenig googeln habe ich herausgefunden, dass die Durchschnitts Pro-Kopf-Domains bei Domaininhabern bei etwa 86 Domains pro Person liegt. Damit wären es gerade mal ~ 162.000 Webmaster hier in Deutschland mit .de-Domains. Nun die Frage ~ 162.000 Leuten sichere Lösungen zu verkaufen oder 82 Millionen?

Dieser Text ist selbstverständlich absolut Kritik/Anschuldigungs frei.

Ich möchte heute der anderen Seite dieser Konstellation helfen.
Ich habe mich hingesetzt um eine kleine Lösung für Webmaster zubauen, wie Sie sicher sensible Inhalte übertragen können ohne, dass Web-Crawler oder HTTP-Sniffer diese sofort mitlesen und auswerten können.

PHP encrypt / JavaScript decrypt on the fly...

Um den Content serverseitig zu verschlüsseln nutze ich folgende Funktion:

function endecrypt($text, $key = '') {
   // Kein Schlüssel angegeben, so gebe den Text zurück
    if ($key == '') return $text;

  // Leerzeichen aus Schlüssel entfernen
    $key = str_replace(' ', '', $key);
  // Ist der Schlüssel kleiner als 8 Zeichen -> exit();
    if (strlen($key) < 8) exit('key error');

  // Länge des Schlüssels
    $key_len = strlen($key);
  // Schlüssel über 32 Zeichen, dann bleibt er bei 32
    if ($key_len > 32) $key_len = 32;

  // encrypt/decrypt text ...
    $k = array(); // key array
    for ($i = 0; $i < $key_len; ++$i) {
        $k[$i] = ord($key{$i}) & 0x1F;
    }

    for ($i = 0; $i < strlen($text); ++$i) {
        $e = ord($text{$i});
        if ($e & 0xE0) {
            $text{$i} = chr($e ^ $k[$i % $key_len]);
        }
    }
    return $text;
}

Dieses ist eine recht simple Funktion, welche anhand eines eingegebenen Schlüssels den übergebenden Text verschlüsselt oder entschlüsselt.
Wenn ein Text z.B. mit dem Schlüssel "ABCABCABC" verschlüsselt wurde muss der verschlüsselte Text und der Schlüssel "ABCABCABC" übergeben werden um den Text zu entschlüsseln.

Die gleiche Funktion habe ich nochmal für JavaScript geschrieben um später den Text auf der Webseite wieder entschlüsseln zu können.

	// Ersatz für die PHP-Funktion ord
	function ord(c)
	{
	  return c.toString().charCodeAt(0);
	}

       // DeEncrypt mit Javascript
	function endecrypt(text, key){
	    if (key == '') {
		return text;
	    }

	   key = key.replace(/ /g, ''); 

	    if(key.length < 8){
		   throw new Error(\"key error\")
	    }

	    var key_len = key.length;
	    if(key_len > 32)	key_len = 32;

	    k = new Array();
	    for(i = 0; i < key_len; ++i){
		k[i] = ord(key.charAt(i)) & 0x1F;
	    }

	 var newtext = \"\";
	    for(i=0; i < text.length; ++i){
	     var e = text.charCodeAt(i);
	     if(e & 0xE0){
		  newtext += String.fromCharCode(e ^ k[i % key_len]);
	     }
	    }

	     return newtext;
	}

Schon können wir etwas serversteitig verschlüsseln und an den Webbrowser des Internetnutzers übertragen. Dieser kann dann on-the-fly mit Hilfe von JavaScript den verschlüsselten Text wieder entschlüsseln. Wenn nun ein HTTP-Sniffer am Werk ist, wird dieser nur den verschlüsselten Text zu Gesicht bekommen und wird zu 99% damit nichts anfangen können / nicht auswerten können.

Das ganze noch mal komplett als Beispiel hier.
Um den Content zu sehen müssen Sie das Passwort :"Be A-Saf3-Key" ohne "" eingeben!

Script für dieses Beispiel:

<?php
function endecrypt($text, $key = '') {
   // Kein Schlüssel angegeben, so gebe den Text zurück
    if ($key == '') return $text;

  // Leerzeichen aus Schlüssel entfernen
    $key = str_replace(' ', '', $key);
  // Ist der Schlüssel kleiner als 8 Zeichen -> exit();
    if (strlen($key) < 8) exit('key error');

  // Länge des Schlüssels
    $key_len = strlen($key);
  // Schlüssel über 32 Zeichen, dann bleibt er bei 32
    if ($key_len > 32) $key_len = 32;

  // encrypt/decrypt text ...
    $k = array(); // key array
    for ($i = 0; $i < $key_len; ++$i) {
        $k[$i] = ord($key{$i}) & 0x1F;
    }

    for ($i = 0; $i < strlen($text); ++$i) {
        $e = ord($text{$i});
        if ($e & 0xE0) {
            $text{$i} = chr($e ^ $k[$i % $key_len]);
        }
    }
    return $text;
}

	echo "<html>
		<head><title>Sicherheit!</title></head>
		<body>
			<div id=\"code\">".endecrypt("Meiner geheimer Content sollten nur Leute sehen die es auch dürfen ;)", "Be A-Saf3-Key")."</div>

			<script type=\"text/javascript\">

	function ord(c)
	{
	  return c.toString().charCodeAt(0);
	}

	function endecrypt(text, key){
	    if (key == '') {
		return text;
	    }

	   key = key.replace(/ /g, ''); 

	    if(key.length < 8){
		   throw new Error(\"key error\")
	    }

	    var key_len = key.length;
	    if(key_len > 32)	key_len = 32;

	    k = new Array();
	    for(i = 0; i < key_len; ++i){
		k[i] = ord(key.charAt(i)) & 0x1F;
	    }

	 var newtext = \"\";
	    for(i=0; i < text.length; ++i){
	     var e = text.charCodeAt(i);
	     if(e & 0xE0){
		  newtext += String.fromCharCode(e ^ k[i % key_len]);
	     }
	    }

	     return newtext;
	}

			 if ( isNaN(document.getElementById('code'))){
				var decodekey = prompt(\"Geben Sie Ihr Passwort fuer diese Seite ein\",\"\");
				document.getElementById('code').innerHTML = endecrypt(document.getElementById('code').innerText, decodekey);
			 }

			</script>
		</body>
		</html>
		";

?>

Als denkbaren Anwendungsfall fällt mir auch ein, dass man den Email-Verkehr verschlüsseln könnte. Durch ein simples Plugin könnte man hier Abhilfe schaffen, dass nicht jeder Ihre Email mit liest.
Ihr habt sicher noch gute Ideen wo man dieses gut einsetzen kann.

Viel Spaß beim ver- und entschlüsseln!