Frägeh

TRW · 29.12.2004, 00:49

Hab mal ne kurze frage, hoffe es macht sich einer die "mühe"...
ich will wissen ob dieses sehr einfache login script denn auch ausreichende sicherheit bietet wenn es um wichtige daten geht...:
http://www.tutorials.de/showthread.php?t=9684
können dritte diese zugeteilten sessions auch nutzen?
kenn mich da nicht aus...sicher?! oder fehlt da was grundlegendes?
thx, mfG

imported_Ben · 29.12.2004, 00:55

http://www.developers-guide.net/foru...es-loginsystem

so geht es wunderbar. musst du eben nur noch die kommunikation mit der DB herstellen.

zur sicherheit. die sessionID ist 'einmalig'. also sagen wir mal so .. die chance ist gleich null, dass zwei leute die selbe SID haben.
generell solltest du aber den 'logout' so gestalten, dass z.b. bei jedem scriptaufruf getestet wird, wie lange der user inaktiv war (aktuelle zeit - zeit der letzten aktivität).

überschreitet diese differenz eine gewisse zeitspanne, so änderst du den status in der DB und die session ist für diesen login unwirksam. erst nach erneutem einloggen und umsetzen des login-status kann die session wieder gebraucht werden.

ich bin allerdins wirklich kein security-guru .. so werde ich es bei meinem nächsten loginsystem machen

grüße ben.

TRW · 29.12.2004, 01:04

werd mich da mal reinarbeiten...
aber ich habe dich schon richtig verstanden und das script ist so mehr oder weniger sicher ja?
mit diesem logout werde ich mich dann nochmal speziell beschäftigen.
eine frage..in dem script was ich habe wo vergibt er da eine "SID"[?]?!

imported_Ben · 29.12.2004, 01:08

du hast ja gar kein script.
ich habe da vor einigen minuten erst einen post zu geschrieben bzgl. der übergabe er SID

http://www.phpfriend.de/forum/viewto...hlight=#191392

grüße ben.

TRW · 29.12.2004, 01:11

mit mein script meinte ich dieses hier:
http://www.tutorials.de/showthread.php?t=9684
und dieses script kann ich schlecht mit den ganzen andern sachen vergleichen...zumindest fällts mir schwer (n00b)
werd mir deine posts dann trotzdem mal anschauen und ich werte deine antwort als "ja, das script ist durchaus sicher!"

imported_Ben · 29.12.2004, 01:16

ich schaue mir das script da gar nicht an .. habe dir ja eins von mir gegeben

*stolz bin*

^^

grüße ben.

TRW · 29.12.2004, 02:15

hab noch ne frage
wenn ich nen login script habe das mit sessions arbeitet, wie lange ist der eingeloggte user dann auch eingeloggt? Wenn ich mich einlogge, das fenster schließe und die url extern wieder öffne bin ich nicht mehr eingeloggt...
also hält so ne session ja 0sek lang...nur so lang man das browserfenster geöffnet hat?!

29.12.2004, 03:00

...oder so lange wie in der php.ini eingestellt ist.

TRW · 29.12.2004, 03:09

ich hab gemieteten webspace wo find ich die php.ini???
und wenn der browser geschlossen wird ist es doch egal was in der php.ini steht - der user ist trotzdem ausgeloggt [?]

imported_Ben · 29.12.2004, 08:19

auf die php.ini hast du keinen zugriff.
du kannst das aber alles in der phpinfo() nachlesen.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

29.12.2004, 00:49
TRW Erfahrener Benutzer Registriert seit: 20.10.2004 Beiträge: 759	Frägeh Hab mal ne kurze frage, hoffe es macht sich einer die "mühe"... ich will wissen ob dieses sehr einfache login script denn auch ausreichende sicherheit bietet wenn es um wichtige daten geht...: http://www.tutorials.de/showthread.php?t=9684 können dritte diese zugeteilten sessions auch nutzen? kenn mich da nicht aus...sicher?! oder fehlt da was grundlegendes? thx, mfG


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

29.12.2004, 00:55
imported_Ben Erfahrener Benutzer Registriert seit: 18.09.2003 Beiträge: 13.598 PHP-Kenntnisse: Fortgeschritten	http://www.developers-guide.net/foru...es-loginsystem so geht es wunderbar. musst du eben nur noch die kommunikation mit der DB herstellen. zur sicherheit. die sessionID ist 'einmalig'. also sagen wir mal so .. die chance ist gleich null, dass zwei leute die selbe SID haben. generell solltest du aber den 'logout' so gestalten, dass z.b. bei jedem scriptaufruf getestet wird, wie lange der user inaktiv war (aktuelle zeit - zeit der letzten aktivität). überschreitet diese differenz eine gewisse zeitspanne, so änderst du den status in der DB und die session ist für diesen login unwirksam. erst nach erneutem einloggen und umsetzen des login-status kann die session wieder gebraucht werden. ich bin allerdins wirklich kein security-guru .. so werde ich es bei meinem nächsten loginsystem machen grüße ben. __________________ Webentwickler-Blog - Buchbesprechung PHP Design Patterns - SQL-Antipatterns

29.12.2004, 01:04
TRW Erfahrener Benutzer Registriert seit: 20.10.2004 Beiträge: 759	werd mich da mal reinarbeiten... aber ich habe dich schon richtig verstanden und das script ist so mehr oder weniger sicher ja? mit diesem logout werde ich mich dann nochmal speziell beschäftigen. eine frage..in dem script was ich habe wo vergibt er da eine "SID"[?]?!

29.12.2004, 01:08
imported_Ben Erfahrener Benutzer Registriert seit: 18.09.2003 Beiträge: 13.598 PHP-Kenntnisse: Fortgeschritten	du hast ja gar kein script. ich habe da vor einigen minuten erst einen post zu geschrieben bzgl. der übergabe er SID http://www.phpfriend.de/forum/viewto...hlight=#191392 grüße ben. __________________ Webentwickler-Blog - Buchbesprechung PHP Design Patterns - SQL-Antipatterns

29.12.2004, 01:11
TRW Erfahrener Benutzer Registriert seit: 20.10.2004 Beiträge: 759	mit mein script meinte ich dieses hier: http://www.tutorials.de/showthread.php?t=9684 und dieses script kann ich schlecht mit den ganzen andern sachen vergleichen...zumindest fällts mir schwer (n00b) werd mir deine posts dann trotzdem mal anschauen und ich werte deine antwort als "ja, das script ist durchaus sicher!"

29.12.2004, 01:16
imported_Ben Erfahrener Benutzer Registriert seit: 18.09.2003 Beiträge: 13.598 PHP-Kenntnisse: Fortgeschritten	ich schaue mir das script da gar nicht an .. habe dir ja eins von mir gegeben stolz bin ^^ grüße ben. __________________ Webentwickler-Blog - Buchbesprechung PHP Design Patterns - SQL-Antipatterns

29.12.2004, 02:15
TRW Erfahrener Benutzer Registriert seit: 20.10.2004 Beiträge: 759	hab noch ne frage wenn ich nen login script habe das mit sessions arbeitet, wie lange ist der eingeloggte user dann auch eingeloggt? Wenn ich mich einlogge, das fenster schließe und die url extern wieder öffne bin ich nicht mehr eingeloggt... also hält so ne session ja 0sek lang...nur so lang man das browserfenster geöffnet hat?!

29.12.2004, 03:00
Gast Beiträge: n/a	...oder so lange wie in der php.ini eingestellt ist.

29.12.2004, 03:09
TRW Erfahrener Benutzer Registriert seit: 20.10.2004 Beiträge: 759	ich hab gemieteten webspace wo find ich die php.ini??? und wenn der browser geschlossen wird ist es doch egal was in der php.ini steht - der user ist trotzdem ausgeloggt [?]

29.12.2004, 08:19
imported_Ben Erfahrener Benutzer Registriert seit: 18.09.2003 Beiträge: 13.598 PHP-Kenntnisse: Fortgeschritten	auf die php.ini hast du keinen zugriff. du kannst das aber alles in der phpinfo() nachlesen. __________________ Webentwickler-Blog - Buchbesprechung PHP Design Patterns - SQL-Antipatterns