sesje, cookies czy przez url? Opcje

[sobstel]

ostatnio duzo myslalem o sesjach i tak sie zastanawialem, ktory sposob przekazywania zmiennych jest lepszy: przez cookies czy przez przekazywanie id sesji w adresie (url). jak wiadomo w tej pierwszej metodzie problem pojawia się gdy ktoś ma wyłączoną obsługę cookies, w tej drugiej gdy ktoś da adres strony (a w nim tez id) znajomemu. standardowe polaczenie tych dwoch metod nie likwiduje problemu drugiego. osobiscie mysle, ze stanowi to dosyc duza dziure w sytsemie i zastanawialem sie czy po prostu nie wymuszac na uzytkownikach wlaczania cookies (z jasnym wytlumaczeniem w jakim celu). co o tym sadzicie?

[Krolik]

Co do man-in-the-middle dla SSL, przypomina mi się artykuł o błędzie w MSIE umożliwiający taki atak. Chociaż AFAIK zawsze można dotrzeć do winnego przez certyfikat - jeżeli klient raczy sprawdzić certyfikat który wysłał mu man-in-the-middle.

Tak jest w teorii. W praktyce jednak malo kto przejmuje sie ostrzezeniem SSLa o nieoczekiwanej zmianie certyfikatu lub o niemoznosci potwierdzenia certyfikatu. To drugie wystepuje bardzo czesto, bo wiele serwisow usywa "samopodpisanych" (jak to przetlumaczyc: self-signed?) certyfikatow.
A taki falszywy certyfikat nie musi zawierac zadnych prawdziwych danych, wiec dojsc do autora moze byc trudno. Predzej ustali sie atakujacego przez analize czynnosci, ktorych musial dokonac, zeby w ogole stac sie "man-in-the-middle" czyli np. jakis DNS-spoofing, wlam na router/gatway czy cos.

Niemniej przeprowadzenie takiego ataku jest duzo trudniejsze niz wykorzystanie glupiej dziury w Apache'u lub cudzym skrypcie php i wykradzenie session-id z niczym nie chronionego katalogu /tmp, gdzie php je trzyma (jesli uzywa sie domyslnej obslugi sesji).

Ten post edytował Krolik 9.12.2004, 12:17:46