Znów sesje... Opcje

[woocash]

Moja autoryzacja na stronie wygląda tak:
1. przy logowaniu wysylam 2 cookiesy w jednym jest haslo a w drugim login
2. potem na kazdej stronce je czytam i sprawdzam w bazie

Pytanie:
Czy to jest bezpieczne?

Pytanie2:
Czy lepiej byłoby na sesjach?, bo z mojego doświadczenia wynika ze sesje mozna latwo(wzglednie) przechwycic wpisujac w adresie odpowiednie phpsessid... Oczywiscie zgadnoc je jest trudno ale zawsze to dziura...

Pytanie3
Czy plik sesji będzie usuwany np. po x min od utworzenia, czy po x min od ostatniego odczytu? x to dlugosc sesji ustawiona w konfigu.

[FiDO]

Czy lepiej byłoby na sesjach?, bo z mojego doświadczenia wynika ze sesje mozna latwo(wzglednie) przechwycic wpisujac w adresie odpowiednie phpsessid... Oczywiscie zgadnoc je jest trudno ale zawsze to dziura...

Przepraszam, a o co chodzi?

Pewnie o to, ze ktos moze "przypadkiem" wpisac sobie (w URL'u) ID sesji , ktore akurat jest uzywane przez kogos z wiekszymi uprawnieniami (np. admina). Wydaje mi sie, że jest to równie małoprawdopodobne co trafienie 6 w totka (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg) Chyba, że ktoś zapusci maszyne, ktora "przeleci" przez wszystkie mozliwe ID, ale to zajeloby za duzo czasu to raz (wszakże wszystkich ID przy std ustawieniach jest jedyne 34^32 przy zalozeniu, ze liter w alfabecie jest 24), skoro robilby to automat to musialby wiedziec po czym odroznic strone w wersji zalogowanej od zwyklej i pewnie sa jeszcze jakies utrudnienia, ktore nie wpadly mi do glowy.
A jesli nawet az tak sie tego kolega woocash boi to mozna przy logowaniu wpisywac do sesji IP i potem przy sprawdzaniu sesji sprawdzac tez IP. Zawezi to grupe potencjalnych "hackerow" do jednej osoby (samego zalogowanego, ktory napewno zna haslo, wiec nie musi sie wlamywac (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg) ) lub calej podsieci zalogowanego jesli jest on za NAT'em (wtedy w razie znaleznienia "hackera" latwo wymierzyc mu samosad (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) ).
Gorzej, jak uzywa proxy ale skad potencjalny hacker bedzie wiedzial, ze jest sprawdzanie IP... a nawet jak sie domysli to skad bedzie wiedzial, ze zalogowany np. admin korzysta z proxy, a nawet jesli (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg) to bedzie musial jeszcze trafic te wlasciwe...