Как определить Referer при отправке данных флешом (LoadVars)

[Jlekc]

ЗЫ: или флеша должна делать запрос и ты хочеш быть уверен что это зделала флеша, загруженного с определенного урла?

[Nirth]

а не подходит в этом случае LocalConnection ?

[iNils]

Сообщение от Jlekc

ЗЫ: или флеша должна делать запрос и ты хочеш быть уверен что это зделала флеша, загруженного с определенного урла?

Вот именно.
Если посмотреть что отслылает флеш и куда, можно сделать свою флешку которая отправляет совсем другие данные.

[iNils]

Сообщение от Nirth

а не подходит в этом случае LocalConnection ?

Можешь мысль развить?

[Nirth]

насколько я понял, все дело происходит с двумя флэшками работающими на одном компе? тогда локалконекшн и не разрешать конектиться с других доменов.

[iNils]

Сообщение от Nirth

насколько я понял, все дело происходит с двумя флэшками работающими на одном компе? тогда локалконекшн и не разрешать конектиться с других доменов.

Нет, флешка одна.

[Jlekc]

Сообщение от iNils

Вот именно.
Если посмотреть что отслылает флеш и куда, можно сделать свою флешку которая отправляет совсем другие данные.

дык повторюсь.
На сервере регистрируеш сесию. Броузер ее получает, есе загрузил внутрь флешу, она будет превязана к данной сесии.
Во время передачи данных генериш ключ, и отсылаеш его флешке, он им криптует данные и отсылает назад.

Есе данную флешку запустить отдельно от броузера(просто с харда, как я понимаю в этом проблема?), она не будет привязана к сесии, и проверку не пройдет.
Есе запустить ее намана в броузере, получить ключь, декомпильнуть, и ключем криптонуть данные и отослать. На это нуна время. Есе ключ будет активен пару сек, тада твоя проблема решена.

Или чота не так??

[Antares]

айНилс, увы, это совершенно не способ защиты. Проще тогда уж посылать ключ, который знать будешь только ты, сверять его в php, действовать accordingly...

Однако такая уж хитрая штука все эти сетевые манипуляции, что можно прикинуться дядей Васей и посмотреть то, что отправил другой, а то и отправить самому.

Тут скорее надо читать Essential PHP Security, чем думать о флэшовых средствах.

Поговорил с матерыми php кодерами. Матерые php кодеры сказали, что дело все это зависит так же и от настроек Апача, а значит, жопа это, а не метод проверки. Вот так.

[Jlekc]

вообщем твой сайт кроме генерации ключа должен использовать https-протокол!
Снифер повесить мона, разгребсти геморно.

[iNils]

Остановились (я не один над этим думал) на том, что скрипт который генерит код для html, отдает туда уникальный ключ, который флешка возращает с данными. Ключ будет активен некоторое время. При приходе данных, скрипт сверяет ключ с теми что выдывал и время выдачи.
В принципе достаточно. Основной смысл был в том, что бы нельзя было посылать массово данные в цикле.