[PHP] Bezpieczeństwo sesji, coś poprawić? Opcje

[chormi]

Witam buduję swoją aplikację. Staram się utrudnić życie kombinatorom.

Pseudokod:

[PHP] pobierz, plaintext 
 
	// ktoś wchodzi na strone.
 
	stworzenie_sesji()
	{
		- generowanie keya sesji
		- zapis do bazy (userid=0, useragent, ip) // niezalogowany userid 0
		- zapis id rekordu z tabeli sesji do 'sid' w SESSION
		- zapis keya w SESSION
	}
 
	jako niezalogowany
	{
		stworzenie_sesji();
		nakaz_zalogowania();
	}
 
	logowanie()
	{
		- zmodyfikowanie keya sesji
		- zapis keya w SESSION
	}
 
	jako zalogowany
	{
		pobranie danych z tabeli sesji - rekord o 'sid'
 
		porównanie:
		- klucza zapisanego w sesji
		- adresu ip
		- useragent
		z rekordem w tabeli sesji
 
		jeżeli któreś z powyższych się nie zgadza
		{
			niszczenie sesji
			usuwanie wpisu sesji z tabeli
			nakaz_zalogowania();
		}			
	}
 
[PHP] pobierz, plaintext 

W sesji php trzymam tylko:

'sid' czyli id rekordu z tabeli sesji
skey czyli unikalny identyfikator sesji taki sam zapisywany jest w rekordzie sesji

Sessionid trzymane i przekazywane tylko w ciastku.
Zmiana sessionid przez session_regenerate_id.

Rozmyślałem też nad trzymaniem ip,useragent i userid w sesji żeby rzadziej korzystać z tabeli sesji.

Coś poprawić? Jakieś sugestie?

Ten post edytował chormi 23.03.2013, 11:59:16

[markonix]

Ja uważam, że to świetna wtyczka ponieważ blokuje naprawdę dużo syfu typu "ukryte lajki", dużo skryptowych i nachalnych reklam.
Poza tym wejście z noscirptem na zainfekowaną stronę nie powoduje pobrania wirusa (wyłączam na chwilę - od razu antywirus alarmuje), z noscriptem jeszcze nigdy mi się nie zdarzyło złapać niczego z sieci. Zabezpiecza też przed atakami np. CSRF. No i przecież ta wtyczka blokuje tylko skrypty określone przez użytkownika, nie wszystkie.. Wiadomo, że są strony, które bez JS w ogóle tracą funkcjonalność.

To tylko jedna wtyczka, która tak działa, JS można po prostu wyłączyć. Nie wiem w jakiej wersji, abo po jakimś autoupdate ale w IE miałem skrypty wyłączone domyślnie. Mamy jeszcze urządzenia mobilne starszej generacji, przeglądarki specjalistyczne itp. W każdym razie upieram się, że sesja powinna być rozwiązaniem serwerowym.

Ten post edytował markonix 24.03.2013, 11:43:13