Raiden

Hey zusammen

Ich hab mir die Frage gestellt, ob Eigenschaften eines Objekts das im Session-Array gespeichert wird sicherer sind, als diese Eigenschaften lose (ohne Objekt-Hintergrund) in das Session-Array zu schreiben.

Hintergrund ist, dass ich bisher z.B. ein Benutzerpassword nur als md5-Hash im Session-Array gespeichert habe weil mir das Speichern im Klartext zu unsicher war.
Wie sieht es da mit einem Objekt aus?
Wenn ein Objekt im Session-Array gespeichert ist, kann man dann auf die Eigenschaften des Objekts (z.B. das im Klartext gespeicherter Password) von außen zugreifen? Die Kapselung von OOP sollte das doch normal verhindern, oder?

__________________
Es gibt Tage da verliert man und es gibt Tage da gewinnen die anderen ...

Mister Ad

agrajag

Kapselung bei OOP hat absolut nichts mit Sicherheit zu tun.

Außerdem: Wozu willst du überhaupt ein Passwort (oder auch nur einen Hash davon) in der Session ablegen?

__________________
Today you...Tomorrow me.

Flor1an

Auch wenn Daten in einem Objekt gekapselt sind kannst du sie trotzdem noch von außen auslesen. Zwar nicht mehr einfach indem du auf das Element direkt übers Objekt zugreifst aber schau dir mal var_dump oder sowas an, damit kannst immer noch alles rausfinden.

ChrisB

„Objekte“ kann man gar nicht in Sessions speichern.
Sie werden zuvor serialisiert, d.h. in Textform überführt.
Mit Zugriff auf die Session-Datei kann man da alle Werte genauso auslesen, egal ob sie zu einem Objekt gehören oder nicht.

__________________
RGB is totally confusing - I mean, at least #C0FFEE should be brown, right?

nikosch

Entscheidend ist Flo's Hinweis. Sichtbarkeit zielt nur auf die Anwendbarkeit an, nicht auf Sicherheits- oder Zugriffsaspekte. Mehr als die Schnittstelle wird da nicht definiert.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

Raiden

Ich kenn mich zwar nicht mit Angriffsmöglichkeiten aus, aber prinzipiell hat Kapselung doch schon was mit Sicherheit zu tun.
Immerhin ist - je nach definierter Sichtbarkeit - der Zugriff ja nur über das Objekt möglich und nicht direkt auf die Variable. Das mag zwar zum Teil nur eine Formsache sein, aber es muss ein Objekt vorhanden sein um auf dessen Methoden oder Eigenschaften zugreifen zu können.
Ausnahme sind natürlich solche Dinge wie statische Eigenschaften und Methoden.
Und als privat oder protected definierte Eigenschaften und Methoden sind ohnehin nur innerhalb der Klasse aufzurufen und sonst nicht - so viel ich weiß.

Beispielsweise für einen gesicherten Autologin.
Der Auto-Login-Code als erste und der gespeicherte md5hash des passworts als zweite Identifikations-Möglichkeit.

OK, an var_dump etc. hab ich nicht gedacht.
Ich hab OOP bisher in Java kennen gelernt und da war ich gewohnt, dass es so ablief wie oben beschrieben.

Aber dein Kommentar hat mir die Frage wirklich am besten beantwortet.
Ich dachte, dass das gekapselte Objekt mehr oder weniger "unangreifbar" wäre.

@ nikosh, chrisB:
Danke auch für eure Hinweise.
Die Antworten haben mir alle sehr geholfen

__________________
Es gibt Tage da verliert man und es gibt Tage da gewinnen die anderen ...

Flor1an

Ich bin mir sehr sicher das man auch in Java über sogenannte Reflections auf private Eigenschaften von Objekten zugreifen kann. Das ist natürlich nicht für den normalen Programmierbedarf gedacht und hebelt natürlich das Sichtenschema auf, aber die Sichten sind auch nicht für Sicherheit sondern eben um klare Schnittstellen zu schaffen. Von daher kannst du dich da definitiv nicht drauf verlassen das private Eigenschaften/Methoden von außen nicht erreichbar sind.

Oder denk an die serialisierbarkeit von Objekten. Wenn das Objekt serialisiert ist haste ne schöne Darstellung mit allen internen Attributen. Das geht in PHP sowohl als auch in Java.

nikosch

Das hat aber mit Sicherheit nichts zu tun. Das entspricht in etwa dem Security by obscurity Prinzip bzw. dem Schlüssel unter der Fußmatte. Nur weil (vielleicht) niemand davon weiß, ist das Verfahren nicht sicher.
Ein anderes Beispiel wäre ein Tresor mit einer Rückwand aus Pappe.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

Raiden

Ja OK. Das macht Sinn ...
Ich bin wohl zu naiv an die Sache heran gegangen
Danke jedenfalls für die Aufklärung

Abseits des Sicherheitsaspekts, was haltet ihr denn generell vom Ablegen von Objekten - oder serialisierten Objekten - im Session-Array?
Ist das generell Quatsch? Soll man die OO an dieser Stelle einfach außen vorlassen?
Ich weiß nämlich nicht, ob es dann nur objektorientiert der Objektorientiertheit wegen wäre oder ob es tatsächlich einen nennenswerten Vorteil bringt.

Denn letztlich ist es doch egal, ob ich jetzt mit ...
... oder ...
... auf die Eigenschaften des Objekts zugreife, oder nicht?

__________________
Es gibt Tage da verliert man und es gibt Tage da gewinnen die anderen ...

Trainmaster

Auf diese Weise das Objekt in der Session anzusprechen halte ich für ungeschickt. Stattdessen würde ich im Konstruktur das entsprechende Session-Objekt zurückgeben und mit $this arbeiten. Ich persönlich finde Objekte in der Session je nach Anwendungsbereich sehr nützlich. Bspw. habe ich damit ein Warenkorb-System realisiert.

Was die Sicherheit anbelangt stimme ich meinen Vorrednern zu.