lessiv

heY :wink:

Wenn ich bei einem Login eine Session starte und die in einem Cookie speicher, ist es dann sich genug die Session ID auf der nächsten Seite wieder auszulesen?

Kann man anhand der Session den User festlegen, oder wie soll ich das machen?

Alo ich meine, dass beim login Benutzer und pw geprüft werden und er dann weitergeleitet wird ins "CMS"

tHX

Mister Ad

jens76

also die session wird nicht in dem cookie gespeichert! sondern nur die session-id!

die sessiondaten liegen auf dem server! schon rein aus sicherheitsgründen!!!

nikosch

Abgesehen davon, daß Sessions allein keine Sicherheit machen, ist es ein großer Fehler UserID oder gar das Passwort darin zu speichern.

Freeaak

das passwort kann man ja als hash-wert speichern

__________________
"Wenn du nicht weißt, was du tust: Machs mit Eleganz!"

(Murphy's Gesetze)

Basti

Nein, nein. Natürlich gehört der Benutzername bzw. die UID in die Session. Und das Passwort hat dort nichts verloren bzw. es wäre einfach unsinnig.

Wichtig ist, dass die Session-Daten auf Shared-Hosts nicht von anderen Kunden des Hosters zugänglich sind und sonst gibt es natürlich noch so einiges zu beachten, um Sessions sicher zu machen. Benutz einfach mal die Suchfunktion hier im Forum. Ich hab mich hier dazu schon mehrmals ausgelassen... (und natürlich nicht nur ich)

Basti

nikosch

bei der UID geh ich mit. aber der username ist bereits teil der authentifizierung und damit wird schon die halbe sicherheit des logins reduziert. bzw. kann ich als außenstehender mit zugriff auf die sessions jede einzeln direkt zuordnen und mir zum beispiel diejenige als weiteres angriffsziel aussuchen, in der 'admin' steht. nix username.

xabbuh

Wenn Außenstehende Zugriff auf deine Sessionsfiles haben, hast du wesentlich größere Probleme als die Tatsache, dass derjenige den Benutzernamen herausfinden kann (was sich im Normalfall auch über die ID sehr einfach realisieren lässt).

Basti

Absolut! Wenn du die Session nicht sicher gespeichert bekommst, dann brauchst du sie erst garnicht zu starten. Du lässt ja auch nicht davon ab, wichtige Daten in die Datnbank zu speichern, weil jemand die Config-Datei mit den Zugangsdaten auslesen könnte, sondern siehst eben zu, dass diese Datei für niemanden sonst lesbar wird.

Basti

nikosch

Ist trotzdem Quatsch. Selbst wenn es 'nur' durch einen blöden Fehler im Programm möglich wär $_SESSION ausgeben zu lassen. Schließlich referenziert die ID doch im Normalfall genau einen Datensatz, warum sollte ich da dessen Authentifikation mitspeichern? Selbst wenn ich dann die ID kenne kann ich vielleicht immer noch nicht das Passwort ändern... So denk ich mir das jedenfalls.

Basti

Hi.

Es hat ja auch niemand behauptet, dass man Authentifikationsmerkmale in die Session legen solle, oder? Ich hab oben lediglich geschrieben "Natürlich gehört der Benutzername bzw. die UID in die Session". Es gibt Systeme, bei denen der Benutzername die Benutzer-ID ist und wenn man diesen nicht ändern können soll und einen der Mehrbedarf an Speicher nicht kratzt, dann ist das ja auch absolut sinnig.

Allerdings macht es Sinn, diese Merkmale in der Session zu speichern, wenn man die Authetisierung über einen entfernten Server (LDAP, Kerberos) abwickelt und es nicht ausreicht, diese nur einmal zu Beginn der Sitzung zu machen.

Basti