Sessions: Nutzerfreundlich == unsicher?

histaminchlorid · 21.04.2008, 22:35

Hallo!

Ich habe ein kleines Loginsystem auf einer Seite implementiert.
Nun wollte ich besonders nutzerfreundlich sein und auch Browser erlauben die keine Cookies akzeptieren, dazu habe ich bei jedem Link auf der Seite die Session ID mitgegeben. Das ganze funktioniert auch wunderbar, aber nun gibts da einen kleinen Konflikt:

Wenn sich jemand nicht ordnungsgemäß ausloggt, dann könnte ein Nutzer der nach ihm kommt über die Browser History, einfach sein "Profil" öffnen, weil ja die Session ID im Link steht.

Ich kann also entweder nur das eine oder das andere haben.
Sehe ich das richtig? Von Timeouts bei Sessions halte ich in meinem Fall nicht viel.

David · 21.04.2008, 22:38

Das siehst Du wohl richtig.

Manko10 · 21.04.2008, 22:50

Das Timeout wird auf jeden Fall kommen. Meist aber wohl zu spät. Du kannst nicht die Session-ID verstecken, wenn sie direkt im Link steht. Du kannst höchstens verschärfte Kontrollen der IP und des User-Agents durchführen. Du kannst nämlich davon ausgehen, dass sie die Faktoren währen einer Sitzung nicht ändern.
Es sei denn, du hast viele User mit Proxy.

Hu5eL · 22.04.2008, 07:54

genau das was marko sagt.. schreibst in eine session-variable die ip des users und schaust ob sie sich im laufe der session ändert, falls ja lass dir was einfallen. schreib halt irgendwas wie das sich die ip zur session geändert hat un der user sein password nochmals eingeben soll

histaminchlorid · 22.04.2008, 17:19

Ich glaube dann werde ich mich doch für die nutzerunfreundliche Variante entscheiden und die Session IDs wieder aus den Links rausnehmen.

Manko10 · 22.04.2008, 18:15

@Hu5eL: Manko, nicht Marko!

Hu5eL · 22.04.2008, 19:38

Zitat:

Zitat von Manko10

@Hu5eL: Manko, nicht Marko!

ohhh peinlich

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Sessions, wie funktioniert das eigentlich genau?	tinchen	PHP Tipps 2008	7	08.10.2007 15:06
2 Sessions	Kein Genie	PHP Tipps 2006	8	21.07.2006 15:45
Sessions verfallen sofort	der.Chris	PHP Tipps 2006	4	10.01.2006 18:46
[Erledigt] probleme mit sessions		PHP Tipps 2007	1	17.11.2005 10:43
Nach Einfügugng der Sessions funktioniert mein Program nicht		PHP-Fortgeschrittene	1	02.10.2005 06:13
Sessions!	DER_Brain	PHP Tipps 2005-2	5	30.06.2005 14:51
2 Sessions?		PHP Tipps 2005	5	29.04.2005 19:04
[Erledigt] [PHP5 / W2k3 / IIS] Sessions funktionieren nicht		PHP-Fortgeschrittene	2	02.04.2005 00:39
fenster nicht ohne sessions gelöscht zu haben schlie. lassen		PHP Tipps 2005	1	14.02.2005 21:16
Proble mit Sessions		PHP Tipps 2005	7	07.02.2005 17:42
[Erledigt] Technische Probleme mit Sessions		PHP-Fortgeschrittene	4	18.11.2004 14:45
Problem mit Sessions in mehreren Frames	Chr!s	PHP Tipps 2004	10	30.10.2004 18:52
[Erledigt] sessions aus dateisicht		PHP-Fortgeschrittene	6	12.10.2004 13:59
[Erledigt] Usermanagement mit Sessions - Sicherheitsprobleme ?		PHP Tipps 2004	0	30.06.2004 09:49
Sessions, sessions und nochmal sessions		PHP-Fortgeschrittene	0	06.06.2004 00:36

21.04.2008, 22:35
histaminchlorid Neuer Benutzer Registriert seit: 21.04.2008 Beiträge: 2	Sessions: Nutzerfreundlich == unsicher? Hallo! Ich habe ein kleines Loginsystem auf einer Seite implementiert. Nun wollte ich besonders nutzerfreundlich sein und auch Browser erlauben die keine Cookies akzeptieren, dazu habe ich bei jedem Link auf der Seite die Session ID mitgegeben. Das ganze funktioniert auch wunderbar, aber nun gibts da einen kleinen Konflikt: Wenn sich jemand nicht ordnungsgemäß ausloggt, dann könnte ein Nutzer der nach ihm kommt über die Browser History, einfach sein "Profil" öffnen, weil ja die Session ID im Link steht. Ich kann also entweder nur das eine oder das andere haben. Sehe ich das richtig? Von Timeouts bei Sessions halte ich in meinem Fall nicht viel.


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

21.04.2008, 22:38
David Erfahrener Benutzer Registriert seit: 05.09.2007 Beiträge: 5.044	Das siehst Du wohl richtig.

21.04.2008, 22:50
Manko10 Supermoderator HD Registriert seit: 16.03.2008 Beiträge: 8.709 PHP-Kenntnisse: Fortgeschritten	Das Timeout wird auf jeden Fall kommen. Meist aber wohl zu spät. Du kannst nicht die Session-ID verstecken, wenn sie direkt im Link steht. Du kannst höchstens verschärfte Kontrollen der IP und des User-Agents durchführen. Du kannst nämlich davon ausgehen, dass sie die Faktoren währen einer Sitzung nicht ändern. Es sei denn, du hast viele User mit Proxy.

22.04.2008, 07:54
Hu5eL Erfahrener Benutzer Registriert seit: 26.02.2008 Beiträge: 342	genau das was marko sagt.. schreibst in eine session-variable die ip des users und schaust ob sie sich im laufe der session ändert, falls ja lass dir was einfallen. schreib halt irgendwas wie das sich die ip zur session geändert hat un der user sein password nochmals eingeben soll

22.04.2008, 17:19
histaminchlorid Neuer Benutzer Registriert seit: 21.04.2008 Beiträge: 2	Ich glaube dann werde ich mich doch für die nutzerunfreundliche Variante entscheiden und die Session IDs wieder aus den Links rausnehmen.

22.04.2008, 18:15
Manko10 Supermoderator HD Registriert seit: 16.03.2008 Beiträge: 8.709 PHP-Kenntnisse: Fortgeschritten	@Hu5eL: Manko, nicht Marko!