Sessions verschlüsselt?

[Forumsgast]

Hallo

Werden Sessions eigentlich verschlüsselt gespeichert? Kann ich darin ohne md5 verschlüsselung ein Passwort speichern ohne dass dadurch eine Sicherheitslücke entsteht?


Danke

[Forumsgast]

Warum speichert man Passwörter in einer Session?

[Forumsgast]

Warum speichert man Passwörter in einer Session?

War nur ein Beispiel. In wirklichkeit handelt es sich um ein Captcha Code

[Forumsgast]

Und wieso willst du den Code unverschlüsselt lassen? Ist doch nun kein Aufwand md5() in den Skript zu schreiben.

[Forumsgast]

Weil ich ihn später wieder auslesen und in einem Bid ausgeben will.

[Forumsgast]

mehrfach den selben Captcha?

[Forumsgast]

mehrfach den selben Captcha?

Nein. Aber der Code wird in einer Session gespeichert, damit ich ihn später überprüfen kann. Sonst bringt es ja gar nichts

[Forumsgast]

Warum willst du die Daten in der Session unbedingt verschlüsseln?

[Forumsgast]

Weil man sonst den Captcha Code aus der Session (z.B. aus einem Cookie) auslesen könnte und damit wäre der Effekt eines Captchas verloren.

[Forumsgast]

ähm....

session != cookie

session werden soweit ich weiß in einer datei aufm server gespeichert, glaube sogar unverschlüsselt

cookies werden beim client gespeichert

also wie soll ein client aus einer datei die auf einem server leigt vom client aufgerufen werden? die sessiondatei kann nur der server local lesen sonst keiner!

also gibts da keine sicherhitslegs!

und mit der SID kannste da wenig anfangen! die gibt ja nur an welche sessiondatei verwendet werden soll sonst nix

würde sagen GROSSER DENKFEHLER!!!

[Forumsgast]

Danke. War mir nicht bekannt.
Ist denn die SID wirklich nur zur Zuteilung der jeweiligen Daten auf dem Server zum Clinenten zuständig?

[Forumsgast]

die SID ist der verweiß auf die daten die in der session gespeichert werden! natürlich kann die SID im cookie gespeichert sein aber das ist was anderes.

aber solange du $_SESSION['igendwas'] nutzt sind die daten aufm server gespeichert!!

[Forumsgast]

Die Session Files liegen normalerweise außerhalb des via HTTP erreichbaren Bereiches. Es kann aber durchaus vorkommen, dass das jemand umkonfiguriert, und den Ordner erreichbar macht, und dann könnte er/sie sie Sessiondaten im Klartext sehen.

Dieser Fall ist sehr unwahrscheinlich, aber durchaus erwähnenswert.

[Forumsgast]

stimmt über session_save_path()!
und wenn es http-bereich liegt, dann sollte der ordner wenigstens entsprechend gesichert sein

[Forumsgast]

Nicht nur:

ini_set();

via .htaccess ("Die hab ich von nem Kumpel...")

Last but not Least, der Serveradmin hat keinen Schimmer und macht's inner php.ini