[wheezy123]

#php #mysql #programowanie

Zastanawiam się jak najlepiej rozwiązać logowanie i sesje oraz ich zabezpieczenie. Na początku wykonałem to tak, że przy prawidłowym zalogowaniu, w zmiennej sesyjnej przechowywałem id użytkownika z bazy i wszelkie dalsze operacje bazodanowe wykonywałem na podstawie tego id. Jeśli ta zmienna jest pusta, nie ma dostępu do stron przeznaczonych dla zalogowanych. Później poczytałem więcej i wiem jaka to głupota i właśnie dlatego chcę to zrobić jakoś inaczej i od razu pozabezpieczać. Jakieś propozycje? :)

[filas312]

@wheezy123: od zupełnego #januszsql przechowuj id sesji i potem sprawdzaj w bazie czy id sesji się zgadza? Nie wiem, nie napisałbym tego ale rzucam pomysłem xD

[MacDada]

@filas312: nie próbuj być specem od bezpieczeństwa tylko użyj frameworka

[m.....-]

@wheezy123: dlaczego to jest głupota.? :)

[T.....n]

@filas312: na pewno zrandomuj PHPSESSID

[DOgi]

@wheezy123: id sesji + jakaś tam klasa ip usera

[egoistyczny_logistyk]

@wheezy123: jak wyżej, zamiast odkrywać koło od nowa wykorzystaj jakieś sprawdzone, przetestowane rozwiązanie; przykładowo: https://github.com/cartalyst/sentry

[wheezy123]

@max1m0-: Głupota, bo marne bezpieczeństwo.

@egoistyczny_logistyk @MacDada: Macie rację, dzięki.

[m.....-]

@wheezy123: Ja mam to w podobny sposób zaimplementowane i nie narzekam na brak bezpieczeństwa. :)

http://scr.hu/0rs/69ywv - tabela z sesjami. ID sesji zapisane w ciastku.

Przy ładowaniu sesji sprawdzam mogę sprawdzać ID sesji + np. przeglądarkę / adres IP.

Żeby to złamać ktoś musiałby znać dokładnie sposób w jaki to sprawdzasz. :)

[LostHighway]

@wheezy123: http://www.eioba.pl/a/5u/wlasny-mechanizm-sesji

[m.....q]

@wheezy123: Polecam lekture:

https://www.owasp.org/index.php/Main_Page

http://www.phptherightway.com/

[h3lloya]

@max1m0-: Pozwól, że przeanalizuję Twój przypadek, bo pierwszy raz to robię. Użytkownik się loguje:

- jeśli hasło się zgadza to do db zapisujesz ip użytkownika, przeglądarkę, id sesji oraz czas tego zdarzenia. Pobierasz z bazy sid przed chwilą zapisanej sesji i zapisujesz do ciastka

- użytkownik przechodzi na kolejną stronę odczytujesz sid z ciastka, pobierasz dane na jego podstawie z bazy i porównujesz z obecnym nadesłanym

[m.....-]

@h3lloya:

sid - to unikalny autoincrement w bazie danych.

- użytkownik przechodzi na kolejną stronę odczytujesz sid z ciastka, pobierasz dane na jego podstawie z bazy i porównujesz z obecnym nadesłanym

[h3lloya]

@max1m0-: A sessionid nie jest przypadkiem generowany na podstawie czasu serwera (i to razem z mikrosekundami) plus jakaś random liczba? Bo jeśli tak by było to prawdopodobieństwo wystąpienia tego samego sessionid jest tak niewielkie, że można by zaoszczędzić tego dodatkowego zapytania do bazy szczególnie, że porównujemy jeszcze ip, przeglądarkę itd.

[m.....-]

@h3lloya:

W takim razie sprawdzaj chociaż, czy wpis został dodany (sessionid jest polem unikalnym, czyli nie doda się jeżeli rekord o takim ID już będzie w bazie i zwróci błąd).