Hallo,

ich bin schon wieder dabei ein Login System zu machen und hab dafür ne Funktion geschrieben, die üperprüft ob die Daten korrekt sind.

Naja jetzt will ich nur mal wissen ob das sicher ist. Script sieht so aus:

1. Beim einloggen werden PW und Username überprüft
2. Beim erfolgreichen Login wird der username und die userid in eine session gespeichert
3. Ebenfalls wird die Loginzeit als timestamp in die db übergeben

Zur Überprüfung ob man noch eingelogt ist gehe ich wie folgt vor:

1. Sessionid + Loginzeit von DB bezogen
2. Sollte Loginzeit länger als 30 minuten zurück oder die sessionid nicht zum Usernamen und der Userid passen, ist man nicht eingeloggt...ansonsten schon


Jetzt zu meinen Fragen zur Sicherheit:
1. Kann theoretisch nicht jeder wenn er die Sid besitzt in den Account von einem User
2. Soll ich besser auch das PW md5 verschlüsselt mit in die Session legen und überprüfen, da man so neben der Sid auch das PW braucht?
3. Gibt es irgendwelche bessern Sicherheitsmaßnahmen auf die ich im Moment nicht komme

Hoffe das ist relativ schlüssig
Danke
goosele

Mister Ad

Spyker

zu 2 schon mal. Das Passwort wird nirgends im klartext abgelegt. In der der DB und auch in der Session wenn gwollte sollte es auf jeden fall als Hash stehen.

Wenn register_globals auf off ist kann man wenn du ohne _SESSION arbeitest schnell mal irgentwo rein kommen. Deswegen umbedingt mit _SESSION

Die Session dauer brauchste nicht mit einem timestamp abfragen. Gibt es schon eine Funktion für glaub ich die angibt wie lange die Session leben darf.

Beste,
Tim

__________________
Typo3 Suchmaschinenoptimierung <- alles Rund um SEO mit Typo3

Corvin

Sessions und Sicherheit:
http://forum.developers-guide.net/showthread.php?t=2961
http://de2.php.net/manual/en/ref.session.php

Und hier vielleicht auch mal reinschauen:
http://www.php-faq.de/ch/ch-version4_session.html

zu 3: eine alternative die nicht von sessions abhängig ist wäre HTTP Auth
Wobei ich denke dass deine Lösung ausreichen sollte. Wenn man nicht gerade hochsensible daten schützen muss.

Ne geht um ein Browser-Game....will nur verhindern, dass irgendwelche Script-Kiddies sich überall einloggen können und das so zu deren Vorteil ausnutzen können

Gegen professionalle Hacker kann ich sowieso nix machen *g*

@Spyker
PW wird in der DB schon als md5 gespeichert, hatte nur überlegt ob ich es nochmal als hash in einer session ablegen sollte oder nicht....
Die Sessionslebensdauer hab ich schon definiert, bracuhe die Loginzeit aber sowieso wegen Statistik

zwerg

mepeisen

"Professionelle Hacker" sind ein Mythos und die wenigen, die es gibt, interessieren sich 0 für ein Browsergame.

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih

Ich weiss Das war ja was ich meinte...ich wollte halt nicht jedem Noob die Möglichkeit geben, sich in andere Accs zu hacken.

Aber scheint ja anscheinend sicher genug zu sein

mepeisen

Sessions zu erraten ist eine Hürde, an der viele "selbsternannte" Hacker garantiert scheitern werden. Wenn die nicht gerade per URL übergeben und anschliessend in einem Forum gepostet werden, sondern beispielsweise per Cookie, ist das von aussen relativ sinnlos.

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih

Naja wollte die sessionids schon per browser übergeben
haben ja nicht alle Cookies