Есть Android приложение использующее Retrofit 2. Есть PHP сервер. (Не знаю, важно ли это)
Android пользователь авторизируется и получает PHPSESSID через SET-COOKIE.
Вопросы такие: Вариант 1 (HTTP): Если я использую протокол HTTP, то при передаче PHPSESSID его можно перехватить в исходном виде? Если да: его можно использовать для несанкционированного доступа от лица того, кто потерял PHPSESSID?
Вариант 2 (HTTPS): Если я использую протокол HTTPS, то при перехвате трафика PHPSESSID будет в зашифрованном виде? Если да: возможно ли его дешифровать?
Вопрос 3: PHPSESSID я использую для доступа к $_SESSION, так же передаю uuid на случай, если сессия пропадет, для ее восстановления из БД? Безопасно/правильно такое решение?
P.S. Касаемо HTTPS будем считать что все настроено и проверено. Т.к. вопрос настройки и использования HTTPS не относится к данной теме.
Правка на вопрос @andreymal (Не совсем понятно, о каком таком uuid речь): Есть MySql таблица в которой есть поля (user_id и uuid). uuid это "very_long_random unique_string_php_uniqid()". Если по каким либо причинам PHP сессия пропала (этот вопрос мною мало изучен, поэтому...), что бы пользователь не проходил авторизацию заново, точнее если $_SESSION['id']
отсутствует, но из COOKIE пришел uuid, я ищу в таблице запись с таким uuid, и если нахожу, запускаю сессию и продолжаю работу скрипта.
Т.е. я думаю, если я безопасно по HTTPS могу передавать идентификатор сессии, то так же безопасно могу добавить туда UUID.
На такое решение меня направили участники сообщества StackOverflow в другом моем вопросе PHP REST API Авторизация для Android