Sirke

Wenn du Angst vor einem Servercrash und damit offenen Daten hast und auch dem Cookie nicht vertrauen willst, dann lager das Vertrauen doch auf alle dir zur Verfügung stehenden Komponenten aus:

Daten in der Datenbank werden mit einem möglichst echt zufälligen Schlüssel verschlüsselt. Dieser Schlüssel wird mit einem vom Passwort abgeleiteten Schlüssel verschlüsselt und in der Datenbank abgelegt.
Nach dem Einloggen des Benutzers wird der erste Schlüssel entschlüsselt und in der Session verschlüsselt abgelegt. Der Schlüssel (SessionKey) für diese Verschlüsselung wird aus mehreren Werten abgeleitet, welche unterschiedlich abgelegt werden können: Hardcoded in einer PHP Config, in der Session, in einem Cookie, ... Mit den einzelnen Teilen für den SessionKey kann niemand etwas anfangen!

Ich hoffe und gehe mal stark davon aus, dass du eine sichere Ende-zu-Ende-Verbindung hast (TLS)?!

Mister Ad

McSodbrenner

Danke, hört sich gut an. So hat man die Sicherheit zumindest schön auf alle Komponenten verteilt. Wirklich sicher geht wohl bei einer Web-Applikation nicht.
Wie machen das eigentlich diese ganzen Passwort-Kepper-Apps? Die haben doch ansatzweise das gleiche Problem?!

Na, aber sicher.

__________________
http://mcsodbrenner.blogspot.com/
Serpent PHP Template Engine: http://code.google.com/p/serpent-php-template-engine/