[PHP]Hasło w COOKIE MD5 - czy tak można?, pytanie dot. bezpieczeństwa Opcje

[lol75]

Czesc
Zrobiłem panel administracyjny, z logowaniem.
Login i hasło przechowuję jednal w COOKIE (hasło w MD5).

Czy można tak robić, czy jest to działanie niebezpiecznie?

[PHP] pobierz, plaintext 
            $user = $_COOKIE["user"];
            $passMD5 = $_COOKIE["passMD5"];
 
            if(!isset($user) || !isset($passMD5)) 
            {
                $user = $_POST['user'];
                $passMD5 = md5($_POST['pass']);
            }
 
            $czyLogowaniePowiodloSie = $db->chechPass($user, $passMD5);
 
            if($czyLogowaniePowiodloSie == TRUE)
            {
                setcookie("user", $user, time() + 60);
                setcookie("passMD5", $passMD5, time() + 60);
 
                include_once 'main.php';
            }
            else
            {
                include_once 'formularzLogowania.php';
            }
 
[PHP] pobierz, plaintext 

[Szymciosek]

Po co Ci login i hasło w Cookie ?
Zrób sobie za każdym poprawnym logowaniem w bazie wpis user_hash, który będzie trzymał zakodowany zlepek zmiennych np Login, Ip połączone ze sobą i zakodowane w MD5.

Przy każdym wejściu na stronę sprawdzaj czy user_hash w cookie = user_hash w bazie danych

Mi tak gdzieś radzili i rzeczywiście sam tak zrobiłem

Ten post edytował Szymciosek 27.08.2012, 21:19:17

[pamil]

Po co Ci login i hasło w Cookie ?
Zrób sobie za każdym poprawnym logowaniem w bazie wpis user_hash, który będzie trzymał zakodowany zlepek zmiennych np Login, Ip połączone ze sobą i zakodowane w MD5.

Przy każdym wejściu na stronę sprawdzaj czy user_hash w cookie = user_hash w bazie danych

Mi tak gdzieś radzili i rzeczywiście sam tak zrobiłem

Tak, do czasu gdy ktoś uzyska dostęp do kodu źródłowego/dojdzie do sposobu robienia "losowego" hasha.
Hasło powinno być przechowywane w jednym miejscu (najprwadopodobniej u Ciebie baza danych).
Pozostałe dane (wystarczy ID użytkownika) oraz jakieś dane kontrolne (useragent, aby wychwycić niespodziewane zmiany przeglądarki z żądania na żądanie) trzymaj w sesji.

I login oraz adres IP jest raczej stały dla użytkownika, tym łatwiej podszyć się pod użytwnika, toż to dane ogólnodostępne i nielosowe.
Nie ma sensu robić własnej niby-sesji.

Ten post edytował pamil 27.08.2012, 21:25:45