autologowanie, checkbox z pamietaniem użytkownika Opcje

[diniox]

Zastanawiam się jak bezpiecznie przy pomocy ciasteczka pozwolić na pamiętanie zalogowania? Chodzi mi o taką sytuacje jak jest w gmail.com czyli input text - login, input text - haslo, checkbox - pamiętaj mnie. I bardziej szczegółowo chodzi mi o obsłużenie przypadku gdy ten checkbox jest zahaczony. Trzeba strzymać u użytkownika login (bo trzeba wiedzieć kto to jest), pytanie czy warto trzymać hasło (nawet zahaczowane SHA2)? Ja sobie wymyśliłem, że będę trzymał w ciastku dwie wartości - login i hash SHA2 z loginu+'zalogowany'. dzięki temu, że hash będzie składać się z loginu i stringu zalogowany hash dla każdego użytkownika będzie inny, co trochę utrudnia podszycie się pod daną osobę (chyba, że ktoś odkryje moją zmyślną konkatacje i algorytm hashujący). Pewne jest to, że nie można trzymać nic w stylu zalogowany czt zalogowany=1 bo każdy może sobie takie ciastko zrobić i bez znajomości hasła wejść a konto. Ma ktoś jakiś pomysł jak to można zrobi, żeby było jeszcze bezpieczniejsze?

[erix]

Czy istnieje sposob na zlamanie np takiego hasha? Slyszalem o metodzie teczowych tablic (rainbow array), ale one skuteczne sa do 'cofania' hasha dla ciagow mniej niz 8 znakow. W moim przypadku sama sol jest dluzsza. A znajomosc mojego hasha md5(haslo+sol) w zaden sposob nie pozwoli wejsc mi w posiadanie wartosci soli potrzebnej do ewentualnego ataku.

A jakie ma znaczenie, jakie hasło? Wyszukiwany jest jakikolwiek ciąg, który będzie pasował do sumy kontrolnej. Może być nawet inne hasło, byleby hash był taki, który umożliwi wejście do systemu. Jest osobny, przyklejony wątek na ten temat.

Tak w ogóle, to PHP posiada tyle funkcji hashujących, że tylko wybierać, nie mam pojęcia, dlaczego wszyscy się uczepili md5. :/

Hashownie haseł nie jest bezpieczne - o wiele bezpieczniejszy jest właśnie jakiś przypadkowy zestaw znaków zapisywany również do bazy do danego id

Całkowicie się zgadzam. Do tego zapisanie parę informacji o użytkowniku, aby zminimalizować ryzyko przejęcia sesji.

[andycole]

Wyszukiwany jest jakikolwiek ciąg, który będzie pasował do sumy kontrolnej. Może być nawet inne hasło, byleby hash był taki, który umożliwi wejście do systemu.

Całkowicie się zgadzam. Do tego zapisanie parę informacji o użytkowniku, aby zminimalizować ryzyko przejęcia sesji.

Tak, masz racje, ze dwa rozne ciagi moga dac jednakowy hash. Jednak ryzyko jest chyba niewielkie? W takim razie niewazne czy shashujemy haslo, haslo+sol czy unikalna liczbe i inne dane o userze skoro w kazdym wypadku istnieje mozliwosc uzyskania takiego samego hasha bez znajomosci shashowanych przez nas danych? Czy dobrze rozumuje?

Tak w ogóle, to PHP posiada tyle funkcji hashujących, że tylko wybierać, nie mam pojęcia, dlaczego wszyscy się uczepili md5. :/

A co polecasz innego?