User Agent i adres IP dobre zabezpeiczenie?! Opcje

[Mateusz Bogolubo...]

Chciałbym oprzeć bezpieczeństwo skryptu m.in. o informacje o User Agent i adres IP. Wiem, że jest możliwość zmiany tychże informacji i nie jest to jednoznaczne identyfikowanie użytkownika.

Jednak nie na tym problem polega. Bardziej intryguje mnie to czy np. firewall lub inne podobne oprogramowanie/urządzenie zmienia te informacje za każdym wysłaniem żądania.

Nie chciałbym po prostu, aby użytkownik za każdym razem został wylogowany, ponieważ dane te ulegają zmianie.

PS. Zmiana adresu IP po wyłączeniu i ponownym włączeniu komputera nie jest problemem.

[Mateusz Bogolubo...]

Tak z czystej ciekawości – co masz na myśli mówiąc "chciałbym oprzeć bezpieczeństwo skryptu m.in. o..."?

Chciałbym porównywać obie wartości podczas jakiś akcji. Np. przy utworzeniu nowej sesji zapisuje do bazy info o UserAgent i IP. Następnie sprawdzam przy kolejnej akcji czy dane te się zgadzają. Jeśli nie użytkownik zostaje wylogowany, a akcja zaniechana.

Jeśli chodzi o adres IP, to nie jest on zmieniany często. Z tego co wiem, na neostradzie bez stałego IP adres był ustalany raz na 24 godziny (coś się mogło zmienić).

Chodziło mi bardziej o jakieś proxy, które np. sprawdza obciążenia łączy na serwerach i wysyła zapytanie z różnych IP(w zależności od obciążenia łacza czy coś w tym stylu). Może wydawać się to trochę bezsensowne, ale staram się przewidzieć wszystkie za i przeciw mojego rozwiązania, a że nie mam doświadczenia w tej kwestii to trochę fantazjuje .

Informacje o przeglądarce można zmieniać przed każdym zapytaniem (plugin do FF - User Agent Switcher – może jest jeszcze jakiś, co robi to automatycznie)

Tego się obawiałem.

Ktoś jeszcze dorzuci parę groszy... ?

[michalkjp]

Chciałbym porównywać obie wartości podczas jakiś akcji. Np. przy utworzeniu nowej sesji zapisuje do bazy info o UserAgent i IP. Następnie sprawdzam przy kolejnej akcji czy dane te się zgadzają. Jeśli nie użytkownik zostaje wylogowany, a akcja zaniechana.

Obawiam się, że nie ma jakiegoś idealnego sposobu na identyfikacje zalogowanego użytkownika.

Jeśli przechowujesz w bazie informacje o logowaniu – data, ip etc, to możesz zrobić skrót md5 z tych informacji, zachować go jako zmienną sesyjną i u użytkownika jako ciasteczko. Później sprawdzać, czy dane się zgadzają.

Oczywiście ciasteczka mogą być problemem

(To nie będzie działać, gdy użytkownik wyłączy ciasteczka np. w trybie pornowatnym czy przez proxy nieobsługujące ciasteczek)