Logowanie - sesje czy cookie, Bezpieczeństwo Opcje

[Gitrix]

Zacząłem ostatnio uzupełniać swoją wiedzę z PHP i mam mętlik w głowie. Zrobiłem sobie prosty system logowania oparty na cookies, jednak teraz dowiaduje się, że bezpieczniej jest robić logowanie na sesjach, gdyż podobno użytkownik może ciasteczka tworzyć sam oraz je edytować (https://www.youtube.com/watch?v=bW64jbnGYHw). Niejednokrotnie widzę na stronach internetowych napis, że ich witryna używa cookies, a po usunięciu ciasteczek z przeglądarki, następuje wylogowanie mnie. To jak to z tym wreszcie jest? Cookies czy sesje?

[lukaskolista]

daro0 - widzę, że nie ogarniasz podstaw bezpieczeństwa. Co z tego, że rijandel, że trudny do złamania? Na prawdę to jest Twój argument?

Właśnie nam powiedziałeś, jakiego algorytmu szyfrującego użyjesz w swojej "bezpiecznej" sesji. Znając algorytm jestem w stanie wstrzyknąć w sesję cokolwiek łącznie z tym, na jakiego usera jestem zalogowany. Prędzej czy później rozgryzę strukturę Twojego ciasteczka chociażby pisząc prosty skrypt generujący różne warianty struktur danych zawierających login/id usera a wtedy...

W ciastku to sobie możesz trzymać informację o tym, czy user zaakceptował politykę cookie + id jego sesji, która po każdym zapytaniu powinno być przegenerowane.

Pomijam już możliwość popełnienia błędu i braku szyfrowania zawartości ciastka w jakimś określonym przypadku.

[daro0]

Właśnie nam powiedziałeś, jakiego algorytmu szyfrującego użyjesz w swojej "bezpiecznej" sesji. Znając algorytm jestem w stanie wstrzyknąć w sesję cokolwiek łącznie z tym, na jakiego usera jestem zalogowany. Prędzej czy później rozgryzę strukturę Twojego ciasteczka chociażby pisząc prosty skrypt generujący różne warianty struktur danych zawierających login/id usera a wtedy...

Nie kolego. Po pierwsze nawet nie wiedziałbyś jaki konkretnie szyfr zostałby użyty bo 1) to się ustawia w config.php do którego nie masz dostępu, bo jest po stronie serwera, 2) także klucz szyfrujący się ustawia i też byś go nie znał.
https://kohanaframework.org/3.2/guide/api/Encrypt

To raz. A dwa, nawet gdybyś to rozgryzł i zmodyfikował ręcznie albo jakimś skryptem wartość ciasteczka to i tak musiałbyś obliczyć SHA1 na podstawie: agent+nazwa+wartość+sól a tej soli nie znasz, bo też jest na serwerze. Tak więc framework nawet tego nie przyjmie.

https://kohanaframework.org/3.2/guide/api/Cookie

Oczywiście ciasteczko z takiego Firefoxa można przechwycić a wiadomo gdzie jest składowane i zapisać (nie zmienione) na innym komputerze z FF, więc chyba jeśli chodzi o możliwość Session Fixation to marny pomysł. Należałoby się chyba zawsze wylogować ręcznie, wtedy dane użytkownika zostaną usunięte z sesji (nawet Cookie):
https://kohanaframework.org/3.2/guide/api/Auth#logout



Ten post edytował daro0 29.08.2016, 07:14:34