6

В очередной раз работаю с сессиями в PHP и вдруг возникло ряд такий вопросов:

  • А насколько они безопасны в данном языке,какова вероятность их подделать?
  • Каковы средства защиты(в php),кроме привязки к ip и браузеру?
  • Может кто-нибудь интересовался этим вопросом и у него есть готовые ответы или ссылки на статьи?

3 ответа 3

3
  1. сессии привязываются к конкретному браузеру, создается уникальный id и записывается в переменную PHPSESSID. обратно она возвращается двумя путями через cookies и GET либо POST запросом. в связи с этим сессию подделать можно.
  2. можно дополнительно пользоваться одноразовыми токенами, которые усложнят доступ к сессии.
  3. здесь достаточно подробно расписано о принципе действия сессий. Сессии в PHP
6
  • Одноразовыми токенами..даже не представляю как это выглядит в сочетании с php.
    – zvlex
    29 мар 2012 в 20:42
  • @diRect_Z я так понимаю слово токен ввело вас в заблуждение. в данном случае под токеном я имел ввиду одноразовый уникальный ключ который присваивается каждому событию требующему доступа к сессии, либо к действиям требующих особой защиты.
    – FLK
    29 мар 2012 в 20:54
  • Меня ввело в заблуждение способ реализации всего этого на php.
    – zvlex
    29 мар 2012 в 20:59
  • 2
    особо сложного ничего нет, генерируем ключ, записываем его в базу вместе с датой и id пользователя, когда ключ вернулся удаляем, если время действия ключа истекло, тоже удаляем.
    – FLK
    29 мар 2012 в 21:06
  • То есть создаем отдельную таблицу,привязиваем ее к id пользователя и т.д.Ясно.Большое спасибо.
    – zvlex
    30 мар 2012 в 6:03
2

Как Вы знаете, сессии базируются на куках. Идентификатор сессии записывается в куки и по нему подымается сессия.

Никто не застрахован, что кто-то "подсмотрит" Ваш идентификатор и применит его в своих целях. Применяют дополнительные меры предосторожности, как Вы уже упомянули - привязка к IP и к User-Agent. Полной гарантии безопасности сессий не существует. На порядок безопасность повышает SSL (https) на сайте- это наверное единственная рекомендация, которую можно дать.

P.S.: А почему мой ответ отобразился как "Сообщество Хешкод" ? :)

6
  • А если ограничить область видимости идентификатора сессии,вызовет ли такой шаг,неудобство со стороны пользователей?
    – zvlex
    29 мар 2012 в 20:25
  • всмысле область видимости ? Вы про привязку к IP и UA ? Да, однозначно вызовет, во всяком случае IP и именно для тех, у кого динамический IP адресс. Лучше выключить привязку к IP и включить SSL :) 29 мар 2012 в 20:30
  • Всмысле того,что значения сессии будут доступны только в тех местах где это необходимо.
    – zvlex
    29 мар 2012 в 20:35
  • И мне бы хотелось узнать,под каким ником скрывается счастливый обладатель ника "Cообщество ХэшКод"?Баг ли это или фича?
    – zvlex
    29 мар 2012 в 20:46
  • 1
    @shurik Ответ отобразился как "Сообщество ...", потому что при отправке была выставлена галочка общий (видимо случайно). 30 мар 2012 в 5:56
2

Если украсть куки и подставить (если нет других мер защиты, типа привязки по IP), то сессия будет украдена.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.