Kleine Vragen Topic #4

Aarclay schreef:

Even een testcase gebouwd....

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/require_once"]require_once[/URL] [COLOR= #DD0000]GoogleAuthenticator.php[/COLOR][COLOR= #007700];[/COLOR]
 [COLOR= #0000BB]$ga[/COLOR] [COLOR= #007700]= new[/COLOR] PHPGangsta_GoogleAuthenticator[COLOR= #007700]();[/COLOR]
    [COLOR= #0000BB]$secret[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$ga[/COLOR][COLOR= #007700]->[/COLOR]createSecret[COLOR= #007700]();[/COLOR]
    [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<p>Vul deze code in, of scan de QR-code: "[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$secret[/COLOR][COLOR= #007700].[/COLOR][COLOR= #DD0000]"nn</p>"[/COLOR][COLOR= #007700];[/COLOR]

    [COLOR= #0000BB]$qrCodeUrl[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$ga[/COLOR][COLOR= #007700]->[/COLOR]getQRCodeGoogleUrl[COLOR= #007700]([/COLOR][COLOR= #DD0000]Test inlog[/COLOR][COLOR= #007700],[/COLOR] [COLOR= #0000BB]$secret[/COLOR][COLOR= #007700]);[/COLOR]
    [COLOR= #0000BB]$oneCode[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$ga[/COLOR][COLOR= #007700]->[/COLOR]getCode[COLOR= #007700]([/COLOR][COLOR= #0000BB]$secret[/COLOR][COLOR= #007700]);[/COLOR]

[URL="http://www.php.net/if"]if[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_SERVER[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]REQUEST_METHOD[/COLOR][COLOR= #007700]]==[/COLOR][COLOR= #DD0000]"POST"[/COLOR][COLOR= #007700]) {[/COLOR]
    [COLOR= #0000BB]$checkResult[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$ga[/COLOR][COLOR= #007700]->[/COLOR]verifyCode[COLOR= #007700]([/COLOR][COLOR= #0000BB]$secret[/COLOR][COLOR= #007700],[/COLOR] [COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]code[/COLOR][COLOR= #007700]],[/COLOR] [COLOR= #0000BB]2[/COLOR][COLOR= #007700]);[/COLOR]    [COLOR= #FF8000]// 2 = 2*30sec clock tolerance[/COLOR]
    [URL="http://www.php.net/if"]if[/URL] [COLOR= #007700]([/COLOR][COLOR= #0000BB]$checkResult[/COLOR][COLOR= #007700]) {[/COLOR]
    [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"OK!"[/COLOR][COLOR= #007700];
    }[/COLOR] [URL="http://www.php.net/else"]else[/URL] [COLOR= #007700]{[/COLOR]
    [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]FAILED. No result of zo![/COLOR][COLOR= #007700];
    }
}[/COLOR] [URL="http://www.php.net/else"]else[/URL] [COLOR= #007700]{[/COLOR]
   
    [COLOR= #FF8000]//echo "<p>Checking Code $oneCode and Secret $secret:n</p>";[/COLOR]
        [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]<p><img src="[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$qrCodeUrl[/COLOR][COLOR= #007700].[/COLOR][COLOR= #DD0000]" /></p>[/COLOR][COLOR= #007700];[/COLOR]
    [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]<form method="POST" action="">
        Code: <input type="text" name="code" size="6" />
        <input type="submit" value="Inloggen">
      </form>[/COLOR][COLOR= #007700];
    
}[/COLOR]

[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<p>"[/COLOR][COLOR= #007700];[/COLOR]
?>

Ik scan de code, en voeg hem toe aan de Authenticator app. En ik krijg een code te zien die ik overneem, en steeds blijf ik de FAILED terugkrijgen?
$_POST[code] bestaat, $secret bestaat.
Kijk ik nou ergens over heen ofzo?

Het lijkt alsof je nu bij ieder request een nieuwe secret laat genereren, waardoor de secret bij je GET anders is dan bij je POST

Hm... Volgens mijn lijkt mij dat niet echt de bedoeling dus!
maar die secret sla je dus per user op in de database ofzo? En die gebruik je bij de verify() method?

Aarclay schreef:

Hm... Volgens mijn lijkt mij dat niet echt de bedoeling dus!

maar die secret sla je dus per user op in de database ofzo? En die gebruik je bij de verify() method?

Jep. De secret is voor iedere user uniek.

Ah, dat maakt alles nu helemaal duidelijk.

Heeft iemand hier ooit met de Instagram API gewerkt?
Het is me gelukt om met de oEmbed API een post op te halen, maar hiervoor heb ik een post ID nodig. Ik heb een database met accounts, maar van ieder van deze accounts wil ik de laatste instagram post ophalen. Weet iemand hoe?

Zijn browsers nu echt zo dom, om ook voor http:// protocols die gerwrite worden naar https:// in afbeeldingen op een SSL-secured page te mekkeren dat er Mixed Content is?

Met andere woorden: Ze kijken dus alleen naar de protocol, en niet naar een request, waar die uitkomt?

Aarclay schreef:

Zijn browsers nu echt zo dom, om ook voor http:// protocols die gerwrite worden naar https:// in afbeeldingen op een SSL-secured page te mekkeren dat er Mixed Content is?

Met andere woorden: Ze kijken dus alleen naar de protocol, en niet naar een request, waar die uitkomt?

Gebruik dan // ipv http(s)://. Dat kijkt als het goed is naar het protocol dat er gebruikt wordt

ja, dat is ook zo. Dus dat betekent dat ik toch mogelijk een hoop reg-exjes moet maken om de images in mijn nieuwsberichten en reviews straks te laten rewriten. Kan kan ik meteen kijken of Camo (lees je mee Lennard? ) nog interessant is.

Aarclay schreef:

Zijn browsers nu echt zo dom, om ook voor http:// protocols die gerwrite worden naar https:// in afbeeldingen op een SSL-secured page te mekkeren dat er Mixed Content is?

Met andere woorden: Ze kijken dus alleen naar de protocol, en niet naar een request, waar die uitkomt?
Het doel is juist dat er geen http requests nodig zijn op een https pagina omdat dat een lek in de secure layer betekent, dus dat lijkt me niet meer dan terecht. De http verbinding is mogelijk onveilig (in ieder geval niet ssl) en daar wordt een request heen gestuurd, dus is de pagina waar die request opgebouwd wordt ook mogelijk onveilig. Dat een verzoek wordt gerewrite naar https is daarvoor niet relevant.

toevoeging op vrijdag 11 november 2016, 13:59:07:

Aarclay schreef:

ja, dat is ook zo. Dus dat betekent dat ik toch mogelijk een hoop reg-exjes moet maken om de images in mijn nieuwsberichten en reviews straks te laten rewriten. Kan kan ik meteen kijken of Camo (lees je mee Lennard? ) nog interessant is.

Ik lees zeker mee als het images zijn naar je eigen website dan kun je die met een simpele str_replace ombouwen maar anders zou ik mezelf de moeite besparen en inderdaad gewoon een camo aanslingeren.

Inderdaad vrij logisch dat er alleen naar de protocol in de URL gekeken wordt. Eerst maar eens wat SELECT LIKEs afvuren op mijn nieuws-tabel, en dan kijk ik even verder wat ik ga doen.
Het kan zijn dat ik vroeger wel eens fotos linkte naar Wikipedia of andere sites, dus eerst maar even wat uitzoeken.

En als je Camo gebruikt. advisieer je dan om deze puur op je webserver zelf ook te installeren? Of mag een externe server ook?

Aarclay schreef:

Inderdaad vrij logisch dat er alleen naar de protocol in de URL gekeken wordt. Eerst maar eens wat SELECT LIKEs afvuren op mijn nieuws-tabel, en dan kijk ik even verder wat ik ga doen.
Het kan zijn dat ik vroeger wel eens fotos linkte naar Wikipedia of andere sites, dus eerst maar even wat uitzoeken.
Je kunt ook, als je geen zin hebt in een camo, de http images herschrijven naar een link (klik hier om de afbeelding te openen) als het om een kleine hoeveelheid gaat.

Aarclay schreef:

Inderdaad vrij logisch dat er alleen naar de protocol in de URL gekeken wordt. Eerst maar eens wat SELECT LIKEs afvuren op mijn nieuws-tabel, en dan kijk ik even verder wat ik ga doen.

Het kan zijn dat ik vroeger wel eens fotos linkte naar Wikipedia of andere sites, dus eerst maar even wat uitzoeken.

En als je Camo gebruikt. advisieer je dan om deze puur op je webserver zelf ook te installeren? Of mag een externe server ook?
Externe server kan ook, ik heb m voor het gemak gewoon op dezelfde server draaien, maar dat maakt verder niet uit. Je kunt bij wijze van spreken 100 verschillende servers van één camo gebruik laten maken, zolang je de secret key maar kent.

toevoeging op vrijdag 11 november 2016, 14:04:00:
Overigens is het opzetten van zon camo veel minder werk dan het klinkt, ik was bang dat het een grote operatie zou worden, maar dat viel me alles mee.

Al moet je dan natuurlijk alsnog de urls rewriten, dus je moet sowieso met regexen kloten als je geen UBB parser hebt.

Maar dat rewriten kan niet heel lastig zijn. Want je moet URL alleen voorzien van het pad naar het Camo-script, toch?

Maar jij maakt er een hele hash van?

Waarom eigenlijk?

Aarclay schreef:

Maar dat rewriten kan niet heel lastig zijn. Want je moet URL alleen voorzien van het pad naar het Camo-script, toch?

Maar jij maakt er een hele hash van?

Ja, de img-tag wordt door de UBB parser geparsed. Aldaar wordt gecheckt of de url naar een http of een https image linkt. Indien https dan doet ie er niets mee, maar als het om http gaat dan dus wel en dan maakt ie er inderdaad een hash van. Die hash is te ontcijferen met een key en de UBB parser heeft die key (om de hash te genereren) en de camo heeft die key (om de opgevraagde URL te achterhalen).

Doe je dat niet, dan heb je in feite een open https proxy. Dat kan ook en is verder ook niet erg ofzo, maar dan ga je natuurlijk een shitload aan requests voor andere sites krijgen. Om Tweakers even als voorbeeld te nemen: als de URL gewoon werd omgetoverd naar https://camo.tweakers.net/?url=http://aarclayfansite.nl/logo.png om maar wat te noemen, dan kan de hele wereld hun camo gebruiken en daar zijn ze waarschijnlijk niet zo happy mee.

Bij mijn weten is dat de enige reden. Mocht je wel zo nobel en altruïstisch zijn dat je de hele wereld wil bedienen met je https image proxy, dan kun je natuurlijk die key uit de camo-source filteren. Het is een klein bestandje en heel overzichtelijk, dus wijzigingen zijn zo gemaakt.

Duidelijk, gebruik jij nu een standaard PHP-library om die URLs te genereren? Of is dit echt home-made handwerk ? Ik zie het ook niet zo zitten om straks als proxy gebruikt te worden .

@Lennard @Aarclay https://images.weserv.nl probleem opgelost ik doe dat ook