GELight

Was sind eure Erfahrungen zur Sicherheit im Bezug auf das nutzen von Sessions? Ich persönlich kenne im Vergleich nichts, was sicherer wäre als eine Session zu nutzen.
Kann man sagen, dass eine Session oder bzw. die Variablen darin relativ sicher vor Hackerangriffen sind?
Ich habe mir mit der zeit ein paar kleine Ideen ausgedacht eine Seite noch besser vor angriffen zu schützen aber brauche dafür natürlich eine Session, wo alles drin gespeichert wird.

Wie sind eure Erfahrungen im Bezug auf Sicherheit?
Das Problem ist immer, wenn man nicht weiß, mit welchen Mitteln und über welche Wege ein Angriff stattfindet, dann weiß man auch nicht, wie man die Seite schützen muss.

Okay... grundlegend sage ich immer "wenn jemand irgendwas ernsthaft hacken will, dann schafft er das auch".... nur soll es im Normalfall nicht gleich jeder kleine Möchtegernhacker mit ein paar kopierten Scripts aus dem Inet schaffen. Wenn Ihr versteht was ich meine.
Oder kennt Ihr ein paar Seiten oder dergleichen, wo mal etwas auf sowas eingegangen wird, dass man weiß, worauf man auf jeden Fall achten muss oder sollte?

Mario

Mister Ad

KingCrunch

Die Sicherheit von Sessions wird klar, wenn man sich die Arbeitsweise der Session anschaut. Sessions speichern Daten server-seitig, sind damit schon mal wesentlich sicherer als GET-Daten oder versteckte Formular-Felder. Sessions werden eindeutig durch die Session-ID (SID) identifiziert und gestartet/wieder aufgenommen. Die Sicherheit muss nun noch an zwei Punken greifen:
1. Niemand darf an die Session-Daten vom Server gelangen. Das ist ziemlich einfach zu machen, da man das einfach über Dateirechte und Sichtbarkeit nach aussen regeln kann.
2. Niemand darf an die SID gelangen, solange die Session existiert. Das ist der Knackpunkt.
Die Session-ID wird bevorzugt in einem Cookie abgelegt, welches der Browser bei jeden Aufruf der Seite mitsendet. Manchmal allerdings wird die SID noch in der URL weiter getragen. In beiden Fällen (im ersten schwerig, im zweiten leichter bei unvorsichtigen Nutzern) is das eine Gefahr.

Denkbar wäre es noch die Session durch zusätzliche Mittel als die SID an den Nutzer zu koppeln, wie die IP.

__________________
Nicht jeder Fehler ist ein Bug.

Clint

Hi,
1.) an den Variablen kann der User nicht ändern da er nur die session_id hat
2.) Sessions können geklaut werden...
3.) wie sicher willst du es haben bzw. was willst du sichern??

__________________
http://www.rentmyphone.com

GELight

Okay... soweit klar.
Die Session ist nicht in der URL verfügbar.
Wenn Sessions geklaut werden können.... WIE können diese geklaut werden?
Was nützt einem User die SID, wenn er diese haben sollte?
Wie sicher ich es haben will.... hmm so sicher es von meiner Seite aus zu machen ist.

Ich will zB . verhindern, dass ein fremder einfach so über meine Variablen, die ich per GET oder POST nutzen muss, irgendwerlchen Schund treiben kann. Über Formulare und deren Variablen ist ja der Angriffspunkt Nr.1 oder irre ich da?

Mario

KingCrunch

Nein, irrst da nicht. Sämtliche Daten, die von aussen kommen, sind erstmal als "gefährlich" einzustufen.

Er kann di komplette Session übernehmen Im schlimmsten Fall würde es bei einem Shop bedeuten, dass jemand auf jemand anderen Namen einkaufen könnte.
Durch die URL (verrausgesetzt die SID wird innerhalb dieser übertragen), durch Auslesen der Session-Daten auffn Server (was als Unwahrscheinlichkeit angesehen werden kann, solange man nicht grob fahrlässig handelt) oder durch Auslesen der Cookies auf Browser-Seite (was man gerne mal als selten dämmlich ansehen darf Ne, also da muss scho irgendwie Virus oder ähnliches auftauchen).

Wie gesagt: Du kannst noch die Session direkt an bestimmte Kriterien binden, wie die IP oder ähnliches möglichst eindeutiges.

__________________
Nicht jeder Fehler ist ein Bug.

GELight

Wie gesagt... die SID wird in meinem Fall nie über GET übertragen. Wüsste garnicht wofür das gut sein sollte.

Wie würde ich vorgehen um zusätzliche Daten daran zu binden?
Oder sprichst du hier die Abfrage der Session an, in der ich zusätzliche Daten mit abfragen kann?

Dennoch stell ich mir die Frage, WIE ein User meine Session bekommen kann.
Wie würde er dies nur mit der SID schaffen und wie würde er dies ohne schaffen können?

Mario

Falls einer deiner Member keine Cookies zulässt