2

Есть Android приложение использующее Retrofit 2. Есть PHP сервер. (Не знаю, важно ли это)

Android пользователь авторизируется и получает PHPSESSID через SET-COOKIE.

Вопросы такие: Вариант 1 (HTTP): Если я использую протокол HTTP, то при передаче PHPSESSID его можно перехватить в исходном виде? Если да: его можно использовать для несанкционированного доступа от лица того, кто потерял PHPSESSID?

Вариант 2 (HTTPS): Если я использую протокол HTTPS, то при перехвате трафика PHPSESSID будет в зашифрованном виде? Если да: возможно ли его дешифровать?

Вопрос 3: PHPSESSID я использую для доступа к $_SESSION, так же передаю uuid на случай, если сессия пропадет, для ее восстановления из БД? Безопасно/правильно такое решение?

P.S. Касаемо HTTPS будем считать что все настроено и проверено. Т.к. вопрос настройки и использования HTTPS не относится к данной теме.

Правка на вопрос @andreymal (Не совсем понятно, о каком таком uuid речь): Есть MySql таблица в которой есть поля (user_id и uuid). uuid это "very_long_random unique_string_php_uniqid()". Если по каким либо причинам PHP сессия пропала (этот вопрос мною мало изучен, поэтому...), что бы пользователь не проходил авторизацию заново, точнее если $_SESSION['id'] отсутствует, но из COOKIE пришел uuid, я ищу в таблице запись с таким uuid, и если нахожу, запускаю сессию и продолжаю работу скрипта.

Т.е. я думаю, если я безопасно по HTTPS могу передавать идентификатор сессии, то так же безопасно могу добавить туда UUID.

На такое решение меня направили участники сообщества StackOverflow в другом моем вопросе PHP REST API Авторизация для Android

4
  • 1) Да, да; 2) Да, почти невозможно (но товарищ майор может всё); 3) Не совсем понятно, о каком таком uuid речь
    – andreymal
    4 сен 2018 в 23:55
  • @andreymal я поправил вопрос и постарался объяснить про uuid. Спасибо за ответы. 6 сен 2018 в 12:47
  • Но смысл существования uuid всё же непонятен. Кука PHPSESSID сама по себе является этим самым very-long-random-unique-string. Если PHPSESSID пропала, то почти наверняка вместе с ней пропадёт и uuid тоже. Безопасность у такого uuid вроде бы такая же, как и у PHPSESSID
    – andreymal
    6 сен 2018 в 12:52
  • @andreymal uuid на сервере храниться в БД (не пропадет), uuid у пользователя хранится в cookie (если пользователь не удалит, не пропадет). Но я не уверен что на сервере сессии будут жить столько, сколько это нужно. Если будет какой то сбой или перезагрузка и т.д. не пропадут ли все сессии. Сейчас мне кажется что лучше первым делом более подробно изучить механизм сессий в PHP, но на такое решение, как я уже написал, меня направили ответами на другой мой вопрос "Как собственно все это сделать". Как я понял вариантов много, и хочется выбрать правильное направление и не потерять время на тупиковое 6 сен 2018 в 12:59

2 ответа 2

1

Вариант 1. Да, перехват вполне возможен, так как все данные в HTTP передаются в открытом виде.

Вариант 2. Будет в зашифрованном виде. Расшифровать можно, но очень сложно. В стандартных условиях можно считать, что не возможно.

Вариант 3. Если uuid достаточно уникален и время его жизни ограничено (uuid для юзера иногда перегенеривается). То такую схему можно считать вполне безопасной. Сравнимую по устойчивости с тем же механизмом сессий.

-3

Спешу вас огорчить, но при разрыве соединения следующая сессия у PHP будет иной для того же клиента. Например, если не закрывая браузер закрывая вкладки подключаться к сайту, то PHP сессия останется прежней. Но стоит закрыть сам браузер и открыв его повторно заново зайти на сайт, то сессия уже будет иной. Как обстоят дела с подключениями из иных программ не знаю. Поэтому сессия в Cookies должна использоваться как ID для чтения из базы дополнительный параметров сессии.

Если вы хотите "помнить" пользователей некоторое время, например 1-2 дня, то вам необходимо генерировать собственную сессию для каждого клиента с дополнительными параметрами. Эта сессия должна включать информацию о клиенте - User-Agent, версия ОС и т.д. В таком случае вам не обязательно использовать HTTPS протокол, т.к. даже если будут скомпроментированы Cookies данные пользователя (не говоря о реальном перехвате шифрованного трафика), то при проверке сессии из Cookies и сгенерированной сессии по информации о клиенте вы легко определите скомпроментированность сессии.

Для данного рода манипуляций одного параметра сессии в Cookies недостаточно. Необходимо добавлять ещё ряд параметров... Например, можно положить пользователю в Cookies хеш от строки User-Agent и проверять её на валидность.

Итого: способов защитить сессию от перехвата и запоминания пользователя неограниченное количество. Всё зависит от вашей фантазии. Самое главное, что у вас есть доступ к Cookies и информации о клиенте (кроме IP адреса).

Примеров очень много. Вы можете с пристрастием поковыряться в "нижнем белье" любого сайта зайдя в раздел управления Cookies браузера чтобы посмотреть какие методы используют крупные порталы имея перед глазами список данных.

1
  • 1
    Срок жизни сессии настраивается на сколько угодно лет, независимо от закрытия браузера. Ваша "безопасность" - детский лепет (почему вы решили, что злоумышленник, перехвативший Cookie, не будет знать User-Agent?). Не учите плохому.
    – andreymal
    5 сен 2018 в 8:41

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.