Sesja, Bezpieczeństwo danych w sesji. Opcje

[carbolymer]

Ciekawi mnie kwestia bezpieczeństwa danych w sesji. Czy jak zapiszę w sesji dane rodzaju:

[PHP] pobierz, plaintext 
<?php
$_SESSION['login'] = 'zenek';
$_SESSION['haslo'] = 'a6e5v3z8erg4';
?>
[PHP] pobierz, plaintext 

Mogą one zostać odczytane?
Jeżeli tak, czy dostanie się do danych przez osobę zewnętrzną jest łatwe?

[sobstel]

na serwerach współdzielonych każdy posiadajacy konto na tym serwerze może odczytać sesje ponieważ zazwyczaj przechowywane są w katalogu /tmp, z ktorego kazdy moze czytac. polecam zmienienie tego katalogu przez dyrektywe session.save_path lub uzyc wlasnego handlera sesji (session_set_save_handler).

@radex_p, sesje moga byc przekazywane przez ciacho lub przez url. jesli u ciebie nie widzisz doklejonego w adresach id sesji tzn. ze jest przekazywane przez cookie - jest to robione automatycznie i pewnie nawet nie zdajesz sobie z tego sprawy.

@carbolymer, hasła w żadnym razie nie powinieneś przechowywać w sesji bo zupełnie nie ma to sensu i przed niczym nie zabezpiecza, wręcz przeciwnie.

Pozatym przejęcie ciasteczka nie jest takie proste. Opłaca się zabezpieczać przed jeżeli robisz jakąś poważną aplikacje.

wtedy tylko ssl, tylko to moze uchronic przed sniffingiem. a z podstawowych zasad to nie uzywac urlow do przekazywania identyfikatora.

Ten post edytował sopel 7.05.2007, 19:58:20