0

Дело в том, что я пытаюсь реализовать админ-часть сайта, чтобы в нее можно было войти с различных устройств.

При первом входе в админку посредством логина и пароля на устройстве устанавливается cookie (на 365 дней), а ее хэш размещается в отдельной таблице БД. При вводе таких же логина и пароля с других устройств, на них также устанавливаются cookie. Все cookie различны для разных устройств, поэтому при очередном входе в админ-часть скрипт сканирует таблицу БД с cookie-хэшами. Если совпадение найдено - устанавливается сессия - ввод логина/пароля не требуется.

Все просто. Но как быть, если третье лицо получит доступ к логин и паролю? Злоумышленник введет их на своем устройстве и получит доступ к админке. Конечно, при обнаружении этого, администратор может тут же поменять логин и пароль в БД и удалить таблицу c cookies, но у злоумышленника остается сессионная переменная и он может творить все что вздумается до окончания сессии.

Какие есть пути решения данной проблемы? На широкоизвестных веб-площадках при изменении аутентификационных данных пользователя, на других устройствах сессия тут же обрывается.

13
  • Разве компрометация пароля не повод сбросить всё, что можно? Да и после смены пароля сброс сессии просто обязателен.
    – user207618
    5 фев 2017 в 19:44
  • @Other, как сбросить сессию на всех устройствах, где были установлены сессии и куки?
    – Deus
    5 фев 2017 в 19:55
  • Зачем это делать? Очистите таблицу валидных сессий и теперь любое устройство с сессией просто будет получать ответ "Сессия не валидна" и редирект на страницу входа/вставь своё.
    – user207618
    5 фев 2017 в 19:56
  • Впервые столкнулся. Таблицу с сессиями что ли сделать? При каждом обновлении страницы сверять сессию с табличными данными?
    – Deus
    5 фев 2017 в 19:59
  • 1
    Примерно так: Генерируется сессионный ключ, сохраняется в БД (если нужно хранить подольше), при каждом запросе сверяется полученного ключа с наличием его в БД. Найден - значит запрос был когда-то аутентифицирован и всё ещё годный, пускаем без пароля. Если ключа в БД (таблице сессий) нет - пущай аутентифицируется заново.
    – user207618
    5 фев 2017 в 20:02

1 ответ 1

0

Ну для решения сбрасывания всех текущих сессий пользователя со всех устройств, очевидно, нужно иметь связь сессии и пользователя. В той же таблице с хешами для разных устройств вы можете хранить и user_id для каждой сессии. Как только происходит смена пароля для конкретного user_id в таблице хешей удаляются все записи для это пользователя по его id.

По тому же принципу можно реализовать и кнопку в админке "Отключить все устройства (сессии) кроме текущей\включая текущую"

3
  • Логин и пароль будут в единственном экземпляре. Поэтому кнопка - "отключить устройства" будет точно удалять все сессии, кроме единственной - настоящего админа. Как определить - админ за устройством или злоумышленник? Думаю, что удаление всех сессий должно происходить с емейл-подтверждением. Так?
    – Deus
    6 фев 2017 в 11:01
  • Нет, и админа тоже пусть выбрасывает, если он поменял только что пароль, пусть заново его введет и продолжит работу. Либо еще интересный вариант смотреть с какого ip пришел запрос на смену пароля и только эту сессию оставлять. А на тему "Как определить - админ за устройством или злоумышленник" очень сложно ответить, даже гугл порой не справляется с подобной задачей. Тут уже надо вести тотальную слежку за пользователем и определять его стандартное поведение (в какое время он заходит, с каких ip и тп) и при отклонении от нормы использовать силу двухфакторной авторизации
    – Rochfort
    6 фев 2017 в 11:12
  • Сейчас у большинства людей динамический ip. Буду привязывать именно к емейл. Да, нужно сбрасывать все сессии, и админа тоже.
    – Deus
    6 фев 2017 в 12:15

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.