User Agent i adres IP dobre zabezpeiczenie?! Opcje

[Mateusz Bogolubo...]

Chciałbym oprzeć bezpieczeństwo skryptu m.in. o informacje o User Agent i adres IP. Wiem, że jest możliwość zmiany tychże informacji i nie jest to jednoznaczne identyfikowanie użytkownika.

Jednak nie na tym problem polega. Bardziej intryguje mnie to czy np. firewall lub inne podobne oprogramowanie/urządzenie zmienia te informacje za każdym wysłaniem żądania.

Nie chciałbym po prostu, aby użytkownik za każdym razem został wylogowany, ponieważ dane te ulegają zmianie.

PS. Zmiana adresu IP po wyłączeniu i ponownym włączeniu komputera nie jest problemem.

[Mateusz Bogolubo...]

Ciekawe. Mógłbyś podać jakieś szczegóły co zapisujesz jako ciasteczko przy logowaniu?

Moje rozwiązanie oparłem o coś takiego: w ciasteczkach przechowuje jedynie unikalne wartości. Jedno ciasteczko to PHPSESSID zawierające ID sesji, drugie to kontrolne ciasteczko, które pozwala zapobiec przejęcia sesji.

Aby zwiększyć bezpieczeństwo sesji postanowiłem stworzyć własne rozwiązanie, które opiera się o bazę danych. Chodzi o to, że zamiast przechowywania sesji na dysku w katalogu np. temp do którego mają dostęp wszyscy dzierżawcy serwera przechowuje je w bazie danych. Dane te można wyciągnąć znając jedynie wartości przechowywane w ciasteczkach.