שלום,
רציתי לפתוח פה דיון קטן על כמה sessions הם בעצם מאובטחים...

בניתי מערכת הזדהות פשוטה:
מכניסים שם משתמש וסיסמה, אלו נבדקים מול מסד הנתונים ואם המידע מתאים שם המשתמש והסיסמה שלו (ב-MD5 כמובן) מוכנסים ל-session.

השאלה היא כמה עבודה כזו מאובטחת:
1) האם מישהו יכול להציץ לי למשתני ה-session? לא שזה מאד יעזור אבל בכ"ז...
2) האם יש אפשרות ליצור מידע דמה ב-sessions? כלומר האם מספיק לי לבדוק שהמשתנים הנ"ל הוגדרו, או שמה בכל פעם צריך לבדוק האם המידע ב-session מתאים לזה במסד?

אשמח לדעת כיצד כדאי לשפר את האבטחה כשמשתמשים ב-session cookie.

ערב נהדר,

חתימתכם הוסרה כיוון שלא עמדה בחוקי האתר. לפרטים נוספים לחצו כאן. תוכלו לקבל עזרה להתאמת החתימה לחוקים בפורום חתימות וצלמיות.

להציץ למשתנים שלך-לא(תלוי איפה..שאלה לא מובנת). אבל בהחלט אפשר ליצר משתני סששן וזה עונה לך על השאלה השנייה..אתה צריך לבדוק במסד תמיד..

אתר הפרילנסרים של ישראל
בניית אתרים | עיצוב אתרים | בונה אתרים | מפתח תוכנה | מתרגם | פרילנסר | פרילאנסר | פלאשר

לא ניתן לקרוא את המידע בסשן אלא אם כן אתה מציג אותו או שלפורץ יש גישה לשרת (או שיש פירצה באתר שמאפשרת למשתמש לעשות זאת).
לא ניתן ליצור מידע דמה (אלא אם כן יש פירצה באתר שלך שמאפשרת את זה).

נקודת ההשקה היחידה בין משתמש הקצה לסשן הוא מה שמוצג באתר והsession id שמועבר בעוגיה או URL. הפגיעויות העיקריות של סשנים בהקשר זה נקראת session hijacking וsession fixation. אתה מוזמן לקרוא על כך.

קיימת פגיעות שמשום מה מודעים אליה פחות, בשרתים שמשתפים כמה אתרים, קוד php של אתר אחר יכול לגשת אל קבצי הסשן שלך ולשנות אותם. לכן תמיד צריך לממש מנגנון סשן משלך, עדיף במסד נתונים שרק למשתמש שלך יש אליו גישה. (זה גם נוח וגם מצריך סיסמא כדי לשנות סשנים).

כמובן שיש לנקוט בכל אמצעי הזהירות הרגילים כמו אימות קלט וכו'.

אם כבר אנחנו מדברים על לממש לבד, מה עדיף: GET או עוגיות? (ולמה)

חתימתכם הוסרה כיוון שלא עמדה בחוקי האתר. לפרטים נוספים לחצו כאן. תוכלו לקבל עזרה להתאמת החתימה לחוקים בפורום חתימות וצלמיות.