Säkert lösenordsskydd på hemsidan

Jag hade tänkt göra en hemsida med lösenordsskydd.

Här är 2 st länkar där det beskrivs hur man kan använda lösenordsskydd med PHP;
http://www.webdesignskolan.se/php/login_basic/login_basic.html
http://susnet.se/homWebPHP2.html

Men hur säkert är egentligen detta?

Jag kom på att man kanske ska ha ett SSL-certifikat för att kryptera den data som skickas (i detta fallet användarnamn och lösenord).

Men jag vill inte lägga några pengar på det så jag hittade denna sidan;
https://lajm.eu/emil/gratis-ssl-certifikat.html

Där det står om ett gratis certifikat som finns här;
https://www.startssl.com/

Är det möjligt att använda detta certifikat på ett webbhotell som endast stödjer PHP och SSI?

Det verkar ju heller inte som det certifikatet stödjer IE.

Är annars detta ett bra och säkert alternativ (Encrypted Password script);
http://www.dynamicdrive.com/dynamicindex9/password.htm

Jag tänkte ha privata bilder på sidan (födelsedagsfest m.m.) och lämna ut användarnamn o lösenord till de som jag vill ska kunna titta på bilderna.

Så det behöver ju inte vara så säkert som om man hanterar pengar. Det skulle ju inte vara så farligt om bara någon enstaka hackar sig in där. Den skulle nog ändå inte få någon nytta av bilderna, tror jag inte iaf.

Tror du ett enkelt php-script som det på susnet räcker då?

Skiljer det förresten något i säkerhet på webdesignskolans och susnets script?

Är det säkrare lösenordsskydd med .htaccess?

Det borde väl vara säkrare med endast ett användarnamn och lösenord som alla har istället för att de får varsitt?

Det blir nog ett PHP-skript.

Hur gör man för att köra med md5?

Jag är inte så bra på det här. Skulle vilja ha hjälp med hela koden.

Denna koden ligger överst på min hemsida med namnet "skyddad.php";

<?php
include 'validate.php';

if (! checkValidate($_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW'])) {
header('WWW-Authenticate: Basic realm="Min hemsidas lösenordsskyddade sidor"');
header('HTTP/1.0 401 Authorizied');
echo "Du måste ange korrekt användarnamn och lösenord!";
exit;
}

?>

Denna koden ligger i ett eget dokument med namnet "validate.php";

<?php

function checkValidate($user, $pass) {
//byt ut mot de användarnamn och lösenord du vill ha

$users = array('user1' => 'pass1',
'user2' => 'pass2');

if (isset($users[$user]) && ($users[$user] == $pass)) {
return true;
}
else {
return false;
}
}
?>

Jag har testat detta och det fungerar ju bra men vet inte hur jag ska skriva in hash-koden.

Läste att SHA1 ska vara säkrare än MD5.

Vilket är databasen. Är det de sidor som syns på nätet, i detta fallet skyddad.php?

Ska man hitta på hash strängen själv? Bara skriva t.ex. sdf768g6fh57dh78dgh?

Hittade denna koden på en sida, är det kanske något liknande som man ska skriva?

<form action="login.php" method="post"
onsubmit="this.md5sum.value = md5(this.password.value); this.password.value=''; return true;">
<input type="text" name="username" /> Användarnamn
<input type="text" name="password" /> Lösen
<input type="hidden" name="md5sum" />
</form>

Hittade även detta;

<?php
$str = 'apple';

if (md5($str) === '1f3870be274f6c49b3e31a0c6728957f') {
echo "Would you like a green or red apple?";
exit;
}
?>

Skulle vara tacksam för mer hjälp!

Går det inte att hasha användarnamnet och lösenordet om man inte har en databas?

Vad har jag gjort för fel?

Jag fyllde i detta i koden och döpte den till hash.php:

Jag la till include 'hash.php'; som man ser nedan överst i skyddad.php;

Och validate.php lät jag vara som den är;

Tack så väldigt mycket för hjälpen det fungerar ju klockrent!

Jag kom på att på denna raden behöver man ju inte fylla i något;

$md5 = md5($user . ":" . $pass);

Den filen som innehåller lösenordet (validate.php) ska man lägga den i en egen mapp så att den blir svårare att komma åt?

Går det att fixa så att jag kan se vilka användare som har loggat in? Eller det kanske inte är så bra med tanke på säkerheten?

Ifall jag inte vet vilket användarnamn som loggat in så blir det ju svårt att lista ut vilket lösenord jag ska byta om något missbrukas!