Record beveiligen en inloggen

[arpijper]

Kan iemand mij helpen met het volgende probleem.

 

Ik heb een personeelsdossier in de vorm van een aantal records. Per personeelslid dus een record. Nu wil ik het personeel kunnen laten inloggen waarna op basis van hun accountnaam alleen zijn of haar record zichtbaar wordt op basis van een zoekbewerking en de beveiliging userid= get (accountnaam) Ik kom er nu alleen niet verder mee. Kan iemand mij verder op weg helpen?

[fmwebshop]

Maak een inlogpagina in een aparte "inlogtabel", statuspaneel verborgen, vergrendeld.

Bij het openen van deze layout altijd automatisch een nieuw record aanmaken.

In de inlogtabel een veld met wijzigingsdatum, een veld met accountnaam en een veld met password.

Accountnaam en password gerelateerd aan het personeelsdossier.

 

In de inlog pagina een acc.naam en password veld.

Verder één portaalregel over de hele pagina uitgetrokken met hier in de inhoud van het gerelateerde dossier.

 

Hopelijk kom je hier verder mee.

Vr groet

Harry

[mikezwet]

Je moet dan natuurlijk niet een account naam hebben "jjanssen" anders kan een collega alsnog inloggen.

 

Een openings script instellen die een zoekopdracht uitvoert met als basis de laatste privilege naam ?

[andries]

er is maar 1 manier als je dit echt 100% veilig wil doen en dat is gebruik maken van waar FileMaker gewoon zeer goed in is: beveiligen van data door Privilege Sets. Je kan dan echt op data niveau gaan bepalen wie wat mag zien.

 

Al de andere manieren (eigen inlog systemen, scripts, aparte layouts, ... ) zijn letterlijk in 2 minuten te kraken (is nu wel verbeterd sinds FileMaker 11).

[fmwebshop]

Hoi Andries,

 

Je hebt gelijk, maar met de twee mogelijkheden gecombineerd maakt dayt het werken met logins simpeler en kan dus heel praktisch zijn.

Kraak het voorbeeldje voor mij.

Er zijn twee layouts en twee records in de data tabel.

Andries en Harry.

 

Jouw record naam is: Andries

Pass: open

 

Mijn record naam is: Harry

 

Geef mij mijn pass.

 

Vriendelijke groet,

Harry

login.fp7

[andries]

Harry

 

deze was zelfs niet moeilijk: 2D§20$5

 

 

Groetjes

 

Andries

 

ps: ik gebruik geen externe software, enkel FileMaker Pro

 

en een mooie analogie die ik vond op fmforums:

 

I tell the professional security guard outside my house (the built-in FM security) to let you through the door, then when you're in my living room I ask you who you are (my custom log-in screen). You are in my house already. That's not secure.

[fmwebshop]

Help mij van, mijn naïviteit af Andries.

 

Hoe kom je er doorheen ?

 

groet

Harry

[andries]

via de achterdeur

 

Ik maak een nieuwe file aan, voeg jouw file toe als externe databron, in de database definities voeg ik een table occurrence toe die wijst naar jouw data tabel, maak een layout aan gebaseerd op die TO en ik ben er. Op die manier omzeil ik ook je OnLaunch script.

 

Met FileMaker 11 kan je nu aanwijzen dat een file enkel kan toegevoegd worden als externe databron als je Full Access op die file hebt. Op die manier valt deze manier van "kraken" al beter te voorkomen.

 

Ik blijf er toch bij: als je je data wil beveiligen is er maar 1 en slechts 1 manier, en dat is via de Accounts en Privileges van FileMaker.

[fmwebshop]

Dank je Andries.

Dit is dus gewoon een groot lek in de Filemaker beveiliging.

Ik houd er in het vervolg rekening mee.

 

Vriendelijke groet

Harry

[hbrendel]

Ik heb het ook nog binnen de file gevonden. Het filmpje duurt 27 seconden, maar in werkelijkheid heb ik er 2 minuten over gedaan.

 

http://www.data33.nl/images/Harry.mov

[andries]

Dit is dus gewoon een groot lek in de Filemaker beveiliging.

 

Harry, welke lek? Je schakelt de volledige beveiliging die FileMaker voorziet uit, en probeert dan zelf te beveiligen, door middel van een OnLaunch script en een find. De "lek" zit dan toch echt wel in jouw beveiliging en niet in die van FileMaker. Eigenlijk probeer je data te beveiligen op interface niveau. FileMaker kan echter op vele manieren zijn data interfacen, en om die allemaal te gaan dichtmetselen, ben je gewoon sneller af en vooral beter af met het gebruik van een account en privilege set.

 

Nog een kraker: eenmaal de file open kan je met een simpele SQL plugin zo data uit tabellen trekken als die tabellen niet door FileMaker beveiligd zijn. De nodige gegevens over tabelnamen en veldnamen haal je dan weer uit je data viewer, die ook niet uitgeschakeld is als je met Full Access binnen mag.

 

 

Ik heb het ook nog binnen de file gevonden. Het filmpje duurt 27 seconden, maar in werkelijkheid heb ik er 2 minuten over gedaan.

 

http://www.data33.nl/images/Harry.mov

 

mooi gevonden

[fmwebshop]

Zo is het Henk.

Ik had geschreven voordat ik nagedacht had.

 

Groet

Harry

[andries]

je moest is weten hoeveel databases er op pointinspace gehost worden die je gewoon binnen kan met Admin en geen pw...

[mikezwet]

Runtime ervan maken ?

Of ervan uit gaan dat je personeel geen ervaring heeft met FM of niet die moeite wil doen om het blad van een collega te willen openen...

[andries]

je kan een runtime file openen met FileMaker Pro, dus lost op zich niets op.

 

Je kan er vanuit gaan dat het personeel inderdaad niet de moeite wil nemen om naar andere files te gaan kijken. Maar misschien wel iemand anders... Als de data bedrijfskritiek is, kan je het maar beter beveiligen.