שלום,
מה הדרך הבטוחה והיעילה ביותר לאמת נתוני משתמש (או שאולי נכון יותר לומר לאבטח עוגיות?..)?

אני רוצה שמשתמש שמתחבר לאתר שלי, יוכל לחזור לאתר לאחר זמן מה והמערכת תזהה אותו למרות שיצא ממנו כבר.
האם כדאי להשתמש בעוגיות? אולי ב SESSIONS? אולי לשלב?

אשמח לקרוא את דעתכם בנושא.
בנוסף אשמח לקבל קישורים למקורות מידע בנושא.

תודה,
איגור

בברכה,
איגור פרנקל
Tulz.net - פתח פורום בחינם לאתרך!

האא אין בעיה בעוגיות במיקרה הזה ניראה לי כי זה כולה לזאות אותך..

לפי מיטב ידועתיי וזיכרונותיי, כאשר קראתי על SESSIONS, נאמר שהם פעילים רק בזמן שהמשתמש עדיין מחובר לאותו דפדפן,
יענו, ברגע שהוא יצא מהחלון ויכנס מחדש, הוא יקבל SESSION ID חדש.

לכן, עוגיות.

ו..אם אתה רוצה לאבטח את העוגיות שלך,
רעיון שאני חושב שאני אשתמש בו (במקרה ואני אשתמש בעוגיות, מה שלא קרה עד היום),
תצפין את המידע,
ובפעם הבאה פשוט תבדוק אם המידע המצופן שווה למה שהזינו, או למידע מסויים.

[הצפנה אפשר עם md5]

השאלה הכי חשובה פה היא מה רמת הבטיחות שאתה רוצה להשיג
למשל, אם זה זיהוי לשם כתיבה בפורום, הרמת זיהוי שמספיקה היא עוגיות שישארו פעילות כמה ימים
אם אתה צריך יותר, אפשרי לעשות עוגיות/סשנים שנשארים פעילים רק לכמה שעות (ואז יש פחות סיכוי שמישהו ישתמש בעוגיה של מישהו אחר שהוא "מצא")

לעומת זאת, אם אתה מעניק שירות כלשהו שכרוך בתשלום או באבטחה גבוהה, אז אתה צריך שרת SSL (או טכנולוגיית הצפנה/זיהוי דומה) שיאבטח אותו (קרא גם על פרוטוקול HTTPS)

למשל דוגמא לבעיה שיש עם עוגיות/סשנים - המשתמש שלך משתמש בפרוקסי כדי להתחבר לאינטרנט ולכן כל המידע שהוא מעביר/מקבל יכול להיקרא ע"י גורם שלישי. הגורם השלישי יכול לשמור אצלו את העוגיה שהשרת שלך שולח, ואחרי שהמשתמש מתנתק, הגורם שולח שוב את העוגיה ומתחבר בעצם על השם של המשתמש, אך בלי סיסמא..


ואגב , זה שהמשתמש סוגר את החלון שלו, לא אומר שהסשן נהרס, כי הסשן נמצא על השרת ולא על הקליינט, ולשרת אין מושג אם המשתמש עדיין משתמש בדפדפן או לא