Cookie basierendes loginsystem sicher?!

Masteroi · 12.07.2005, 16:15

Ist ein auf Cookie-basierendes Loginsystem eigentlich sicher?! Also ich stell mir das so vor, dass die Logindaten in einem/mehreren Cookie(s) gespeichert werden, bis die session geschlossen wird (schließen des browserfensters).
gruß

12.07.2005, 16:17

Was für Logindaten genau?

Masteroi · 12.07.2005, 16:19

Benutzername/Passwort!
Ich glaube es ist unsicher....

aber wodurch? wenn das fenster geschlossen ist, werden die daten gelöscht! Und wenn man sich bei nem freund/internetcafe/... einloggt, schließt man (meistens) das fenster, bevor man geht!
gruß

12.07.2005, 16:22

Solltest du überprüfen wer gerade eingeloggt ist anhand z.B.: einer UserID oder dem Benutzernamen in einem dieser Cookies, kannst du das direkt vergessen.

Was du machen könntest, wäre eine Cookie setzten, den mit einer Variable füllen (z.B.: mit md5(md5(usernamen) + md5(uhrzeit + 1234)) würdest du ein md5 Wert bekommen der einmalig und egtl. unknackbar ist ) und diesen Wert dann auch in die Datenbank schreiben. Du solltest überprüfen ob dieser Wert noch gültig ist und immernoch die selbe IP Adresse die Anforderungen schickt (um zu verhindern, dass Skriptkiddies per Brute Force den Wert knacken). Dann müsste das mMn sicher sein und funktionieren.

12.07.2005, 16:22

möglich, aber erstmal stehen Benutzername und Passwort an einem Ort mehr als vorher und sie werden bei jeder Anfrage an den Server neu übermittelt.
Es reicht aus, einen temporär gültigen Wert im Keks zu speichern - das ist dann ziemlich genau die ..tadadadaaa.... session-id

12.07.2005, 16:23

Oh... ja die Session-ID geht auch, hab ich ganz vergessen, aber meine Variante hats auch in sich

Masteroi · 12.07.2005, 16:25

Alles schön und gut... aber ich log mich jetzt aus... denn gerade ist SAN ANDREAS eingetroffen

*g*
also bye und danke!
gruß Philipp

Masteroi · 12.07.2005, 18:44

es wäre ja mobil, wenn die session-id nicht nur aus zahlen bestände richtig? richtig! :wink: Aber wie erzeuge ich einen "zufallsbuchstaben"? bei zufallszahlen ist das ja kein prob, aber buchstaben?

gruß Philipp

12.07.2005, 19:00

mobil? plusquamperfekt? wie meinen?

Ich dache jetzt eigentlich mehr daran, den in php eingebauten session-Mechanismus zu verwenden. Warum das Rad neu erfinden?

ansonsten vielleicht http://php.net/uniqid

Masteroi · 12.07.2005, 19:09

achso.... na dann erfinde ich das rad nicht neu *g* :wink:
danke!
gruß

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Cookie zusätzlich für eine andere Domain setzen	DonTermi	PHP Tipps 2007	5	21.05.2007 13:52
Cookie löschen funktioniert nicht	GSJLink	PHP Tipps 2007	2	24.01.2007 14:55
[Erledigt] Autologin mit Cookie, wie? Beste Lösung?		PHP-Fortgeschrittene	17	16.02.2006 14:03
Cookie setzten funktioniert nicht!?	nicobischof	PHP Tipps 2006	13	06.01.2006 13:38
Cookie	DER_Brain	PHP Tipps 2005-2	4	27.06.2005 17:49
Cookie löschen	tomtaz	PHP Tipps 2005-2	3	06.06.2005 20:50
[Erledigt] cookie funkioniert nur von einer bestimmten Seite		PHP Tipps 2005	2	19.04.2005 07:41
Cookie - Random-Code (nicht identisch)	pixelcut	PHP-Fortgeschrittene	6	22.03.2005 23:13
cookie problem		PHP Tipps 2005	5	08.03.2005 21:22
cookie wird nicht gesetzt - ( vorher KEINE ausgabe )		PHP Tipps 2005	4	14.02.2005 13:34
Problem mit Cookie	Anuschka	PHP Tipps 2004-2	6	26.12.2004 03:12
Cookie bis nächsten Montag gültig machen	Magic	PHP Tipps 2004-2	2	09.12.2004 18:21
Cookie / localhost / Problem gelöst		PHP-Fortgeschrittene	11	02.11.2004 22:41
eval und Cookie		PHP Tipps 2004	4	27.10.2004 23:00
[Erledigt] cookie bei erster aktualisierung auslesen...		PHP Tipps 2004	3	09.06.2004 09:58

12.07.2005, 16:15
Masteroi Erfahrener Benutzer Registriert seit: 03.06.2005 Beiträge: 151	Cookie basierendes loginsystem sicher?! Ist ein auf Cookie-basierendes Loginsystem eigentlich sicher?! Also ich stell mir das so vor, dass die Logindaten in einem/mehreren Cookie(s) gespeichert werden, bis die session geschlossen wird (schließen des browserfensters). gruß


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

12.07.2005, 16:17
Gast Beiträge: n/a	Was für Logindaten genau?

12.07.2005, 16:19
Masteroi Erfahrener Benutzer Registriert seit: 03.06.2005 Beiträge: 151	Benutzername/Passwort! Ich glaube es ist unsicher.... aber wodurch? wenn das fenster geschlossen ist, werden die daten gelöscht! Und wenn man sich bei nem freund/internetcafe/... einloggt, schließt man (meistens) das fenster, bevor man geht! gruß __________________ Nein ich bin nicht die Signatur... ich putz hier nur!

12.07.2005, 16:22
Gast Beiträge: n/a	Solltest du überprüfen wer gerade eingeloggt ist anhand z.B.: einer UserID oder dem Benutzernamen in einem dieser Cookies, kannst du das direkt vergessen. Was du machen könntest, wäre eine Cookie setzten, den mit einer Variable füllen (z.B.: mit md5(md5(usernamen) + md5(uhrzeit + 1234)) würdest du ein md5 Wert bekommen der einmalig und egtl. unknackbar ist ) und diesen Wert dann auch in die Datenbank schreiben. Du solltest überprüfen ob dieser Wert noch gültig ist und immernoch die selbe IP Adresse die Anforderungen schickt (um zu verhindern, dass Skriptkiddies per Brute Force den Wert knacken). Dann müsste das mMn sicher sein und funktionieren.

12.07.2005, 16:23
Gast Beiträge: n/a	Oh... ja die Session-ID geht auch, hab ich ganz vergessen, aber meine Variante hats auch in sich

12.07.2005, 16:25
Masteroi Erfahrener Benutzer Registriert seit: 03.06.2005 Beiträge: 151	Alles schön und gut... aber ich log mich jetzt aus... denn gerade ist SAN ANDREAS eingetroffen g also bye und danke! gruß Philipp __________________ Nein ich bin nicht die Signatur... ich putz hier nur!

12.07.2005, 18:44
Masteroi Erfahrener Benutzer Registriert seit: 03.06.2005 Beiträge: 151	es wäre ja mobil, wenn die session-id nicht nur aus zahlen bestände richtig? richtig! :wink: Aber wie erzeuge ich einen "zufallsbuchstaben"? bei zufallszahlen ist das ja kein prob, aber buchstaben? gruß Philipp __________________ Nein ich bin nicht die Signatur... ich putz hier nur!

12.07.2005, 19:00
Gast Beiträge: n/a	mobil? plusquamperfekt? wie meinen? Ich dache jetzt eigentlich mehr daran, den in php eingebauten session-Mechanismus zu verwenden. Warum das Rad neu erfinden? ansonsten vielleicht http://php.net/uniqid

12.07.2005, 19:09
Masteroi Erfahrener Benutzer Registriert seit: 03.06.2005 Beiträge: 151	achso.... na dann erfinde ich das rad nicht neu g :wink: danke! gruß __________________ Nein ich bin nicht die Signatur... ich putz hier nur!