Avatar billede jokkejensen Novice
28. januar 2012 - 12:10 Der er 4 kommentarer og
1 løsning

Krypteret ajax kald, indeholdende cpr nr.

Hej.

Jeg har en kunde der har sit website i en synkron.via på www.domæne.dk, samtidigt bruger de en umbraco som datalag da synkron.via er lidt begrænset på div. områder.

Dvs jeg bruger synkron.via til at lave en normal html form, hvor action peger på umbraco løsningen. Denne form submittes asynkront til umbraco.

Nu ønsker de at en formular skal indeholde CPR nummer, og der er jeg lidt i knibe, hvordan får jeg mit asynkrone kald til at kryptere dataen før det sendes vha javascript ?

Jeg havde forestillet mig at vha et timestamp at lave en krypteringsnøgle, kryptere data'en der sendes til umbraco, men når data modtages af umbraco skal de dekrypteres så det kan læses af modtagere, dataen sendes pr mail, samt gemmes i umbraco.

Kan jeg vha javascript kryptere kaldet til umbraco, og læse det i umbraco ? - det skal hertil siges jeg har mulighed for at kryptere gennem C#, før jeg sender requestet videre til umbraco fra synkron, og fra umbraco igen læse det krypterede data vha C#.

Alternativt skal jeg igang med noget SSL, men så formoder jeg at både umbraco og synkron.via skal køre på SSL, og det vil jeg helst undgå.

Så mit løsningsforslag er at:
1: formularen udfyldes af brugeren
2: Når der submittes, kryptere jeg dataen vha C#, og sender det videre til umbraco, altså det krypterede data.
3: Når data modtages af umbraco, dekrypterer jeg det, og gemmer det i umbraco samt sender en mail

Er der nogle problemer i at gøre sådan, eller skal det foregå i et SSL miljø?

På forhånd tak, alternative løsningsforslag modtages gerne.
/Jacob
Avatar billede arne_v Ekspert
28. januar 2012 - 17:50 #1
form sendes:

browser<----synkron.via

og der skal nu submittes enten:

browser---->synkron.via----umbraco

eller:

browser---->umbraco

?

browser---->synkron.via / browser---->umbraco boer bruge HTTPS.

Det er ikke svaert at lave en simpel kryptering i JavaScript og dekryptere i C#.

Men det bliver bedste krypterings algoritme fra antikke-ca. aar 1900. :-)

Og den loesning vil vaere pivaaben.

Bruger X ser algoritmen og evt. embedded key i hans browser. Bruger X sniffer derefter bruger Y's traffik og ser baade evt. key sendt og det krypterede CPR nummer og saa er det lige til at dekryptere.

Derfor HTTPS.

synkron.via----umbraco er naeppe noget problem. En staerk kryptering og key er ikke synlig for brugerne. Men det loeser altsaa ikke hele problemet.
Avatar billede arne_v Ekspert
28. januar 2012 - 17:52 #2
Jeg er ioevrigt ret enig med http://blogs.jp.dk/it-bossen/2012/01/24/forsvarstale-for-cpr-nummeret/ men indtil resten af verden ogsaa er, saa er du noedt til at kryptere.
Avatar billede jokkejensen Novice
29. januar 2012 - 10:50 #3
ja jeg kan godt se der er noget ukrypteret trafik, fra Javascript til synkron.via for at kryptere.

SSL må være løsningen..

Tak for din tid, kast et svar.
Avatar billede arne_v Ekspert
29. januar 2012 - 16:52 #4
svar
Avatar billede jokkejensen Novice
03. februar 2012 - 11:16 #5
takker, vi droppede SSL, men nøjes med fødselsdato, det er vist også mindre ulovligt at bruge CPR nummer til benyttelse af kontonr eller, man må i hvert fald ikke bede brugeren om at oplyse det.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester