litterauspirna

Hallo Leute.

Da mich das Thema Sessions und Sicherheit immer beschäftigt bin ich auf diesen Artikel hier gestoßen.

Session Sicherheit - Forum: phpforum.de

Einiges davon habe ich mir schon angelesen. Zu einem Punkt habe ich eine Frage. Und zwar zu dem wo die Session Id bei jedem Request erneuert wird durch das session_regenerate_id(). Wenn ein User nun eigeloggt ist bekommt er ja eine session_id() und kann sich nun in gewissen Bereichen bewegen. Wenn nun aber die session_id regeneriert wird,wird er da nicht ausgeloggt,weil die session_id ja anders ist?

Oder verstehe ich da im Zusammenhang was falsch?

Ich danke euch das ihr mir Licht ins dunkel bringt .

mfg der litter

__________________
Ich bin Masochist denn ich bin Dynamo Dresden Fan!
http://www.lit-web.de

Mister Ad

nikosch

Nach jedem Request ist das Quatsch. Und - nein, das verwaltet der Server (also PHP) schon so, dass die Zuordnung zum User erhalten bleibt.

Wichtig ist eine Änderung nach dem Login, sonst könnte Dir jemand eine Session über einen Link mit Session-GET-ID unterschieben (Session-Fixation).

session_regenerate_id
[edit]
PS: Noch nicht gelesen, sieht aber gut aus: Session-Angriffe - eine Analyse an PHP | PHP MySQL rapid prototyping & Sicherheit

litterauspirna

Also würden z.B. bei einem Shop im Warenkorb auch die Daten nicht verloren gehen und der Warenkorb bleibt solange mit den gleichen Artikeln belegt bis ein unset gibt?

__________________
Ich bin Masochist denn ich bin Dynamo Dresden Fan!
http://www.lit-web.de

nikosch

Ja. Aber probiers doch einfach aus.

Siehe edit oben.

__________________
--
„Eins ist Fakt: Gescannt wird nackt!“

Privatsphäre 2.0 - Nacktscanner mit Eyetracking.
Unser Flugzeug darf kein geschlechtsfreier Raum sein.
--

Manko10

Du solltest es zudem besser machen, als vBulletin.
Ich verbinde mich z.B. nicht immer von zu Hause aus, sondern durchaus auch von anderen Computern. Wenn ich mich auf PC 1 verbinde, und mich dann auf PC 2 einlogge, bleibt der Autologin-Code von PC 1 immer noch gültig. Ich kann mich also auf beliebig vielen Systemen einloggen und für ewig eingeloggt bleiben. Für mich ganz praktisch, aber fatal wird es, wenn ich mal vergesse, mich auszuloggen.
Also entweder die IP prüfen (doof für Leute mit Proxy, der die IPs laufend wechselt) oder (das ist das Mindeste) nach jedem Login die Auto-Login-ID sowie natürlich die Session-ID neu generieren.

__________________
Take your Linux to the next level with Refining Linux!

litterauspirna

Nunja ich mache es generell nicht in meinen Anwendungen das man eingeloggt bleiben kann,ich finde dieser Luxus ist unnütz und die Zeit sich neu einzuloggen hat jeder.

Hey Nikosch da war ich grad am lesen,durch wikipedia hingekommen. Aber heute lese ich nüscht mehr,weil ich das heute nicht mehr schnalle.

__________________
Ich bin Masochist denn ich bin Dynamo Dresden Fan!
http://www.lit-web.de

Manko10

Vor allem bei Foren finde ich das sehr praktisch. Trotz Secure-Login, was mir einen Login per Knopfdruck ermöglicht, finde ich es ätzend, nach kurzer Zeit feststellen zu müssen, dass die Session abgelaufen ist.
Aber man muss den Nutzen der Funktion für die aktuelle Anwendung immer abwägen, da sie ein Sicherheitsrisiko ist. Für Online-Banking-Seiten ist das zum Beispiel undenkbar.

__________________
Take your Linux to the next level with Refining Linux!

JEGO

Hoch interessantes und immer wichtiger werdendes Thema.

__________________
Gruß JEGO

Ein PHP Script tut, was Du schreibst, nicht was Du willst.