Sichere Übertragung von Parametern an Web-Service

[sf1985]

Hallo Forum,

ich verwende SOAPClient um in PHP einen Web-Service nutzen zu können:

$SOAPClient = createSOAPObject($wsdl);
$SOAPClient->getSomething(array("username" => $user_real, "password" => $password));

Übertragung läuft über https. Es sollte also sichergestellt sein, dass es kein Problem ist das Passwort im Klartext zu übertragen. Ich benötige es im Web-Service zur weiteren Anmeldung.

Nun möchte ich das ganze aber noch Client-Seitig zumindest so verschlüsseln, dass das Passwort beim Debugging oder bei einer SOAP-Exception nicht direkt im Klartext dasteht. Eine SOAP-Exception printet nämlich schön die ganzen Parameter des Web-Services im Browser aus.

Wäre es sinnvoll das einfach über eine symetrische Verschlüsslung zu lösen und ein User-Token zu generieren, dass dem Web-Service als Parameter einfach mit übergeben wird?

$SOAPClient->getSomething(array("username" => $user_real, "password" => $password, "token" => $not_really_secret, ));

Wie gesagt...der Benutzer kann natürlich dann auch bei der Exception das Token hernehmen und daraus die Parameter rekonstruieren.
Mir geht es aber nicht um die sichere Übertragung ansich (die ist gewährleistet), sondern um das Clientseitige "verstecken" des Passwortes.

Ich hoffe mein Anliegen ist soweit verständlich rübergekommen...! Wie würdet ihr sowas lösen?

Vielen Dank für jeden Vorschlag.


Grüße

[sf1985]

Niemand eine Idee?? Krass...

[AmicaNoctis]

Hallo,

wenn ich es richtig verstehe, brauchst du nur einen Exception-Handler registrieren (set_exception_handler), der das Passwort (und ggf. andere sensible Informationen) einfach nicht mit anzeigt. So ein Exception-Handler macht sowieso Sinn, weil der normale User damit eh nichts anfangen kann.

Gruß,

Amica

[h3ll]

Eine SOAP-Exception printet nämlich schön die ganzen Parameter des Web-Services im Browser aus.

Exceptions bzw. Fehlermeldungen allgemein sollten nicht ausgegeben werden. Der Server ist offenbar falsch konfiguriert.

[sf1985]

Gut, alles klar. Vielen Dank für die Hinweise! Ich habe jetzt einfach den catch Block rausgenommen.

Ist es im Prinzip kein Problem das Password über einen Web-Service so zu übermitteln?