sesje, cookies czy przez url? Opcje

[sobstel]

ostatnio duzo myslalem o sesjach i tak sie zastanawialem, ktory sposob przekazywania zmiennych jest lepszy: przez cookies czy przez przekazywanie id sesji w adresie (url). jak wiadomo w tej pierwszej metodzie problem pojawia się gdy ktoś ma wyłączoną obsługę cookies, w tej drugiej gdy ktoś da adres strony (a w nim tez id) znajomemu. standardowe polaczenie tych dwoch metod nie likwiduje problemu drugiego. osobiscie mysle, ze stanowi to dosyc duza dziure w sytsemie i zastanawialem sie czy po prostu nie wymuszac na uzytkownikach wlaczania cookies (z jasnym wytlumaczeniem w jakim celu). co o tym sadzicie?

[hawk]

Co do proxy, to podobno jest jakiś nagłówek X_FORWARDED_FOR cy cuś innego. Nigdy nie sprawdzałem i nie oznacza to że musi zawsze być.

Co do man-in-the-middle dla SSL, przypomina mi się artykuł o błędzie w MSIE umożliwiający taki atak. Chociaż AFAIK zawsze można dotrzeć do winnego przez certyfikat - jeżeli klient raczy sprawdzić certyfikat który wysłał mu man-in-the-middle.

Ja zawsze preferuję cookie, bo z przepisywaniem URLi są problemy. Raz że to zajmuje czas. Dwa że przy intensywnym JavaScripcie całość może przestać działać.

A co do bezpieczeństwo sesji, to o dziwo generalnie zgadzam się z Królikiem. Jest kiepsko. W php za bardzo poszli w stronę łopatologiczności - session_start, sesja się tworzy i nic więcej nie wiadomo. W J2EE można dowiedzieć się, kiedy stworzono sesję, czy jest stara czy nowa (bardzo ważne - session fixation) itd.

Chociaż, w php można napisać dobry session handler. To jest duży plus - całą obsługę sesji można wymienić, tak więc można z php zrobić system bardzo bezpieczny pod kątem sesji.