Session Lifetime

Original geschrieben von ghostgambler
Du glaubst also, dass ein 32^16 Zufallswert ein riesen Sicherheitsloch ist?
Ich finde das für reines BruteForce schon zu zeitaufwendig...

... und bei 16^32 ist es noch zeitaufwändiger

Dann deutlicher:
Ich halte ein (Auto)Dauerlogin für unsicher....


Auch kann man schlecht voraussagen wann bei md5 kollisionen auftreten.. also, je kürzer die Lebenszeit einer solchen "Markierung", desto sicherer..

Original geschrieben von 3DMax
... und bei 16^32 ist es noch zeitaufwändiger

:P ^^

Original geschrieben von combie
Dann deutlicher:
Ich halte ein (Auto)Dauerlogin für unsicher....

Es ist aber nun mal gewünscht. Ich bin sehr erfreut darüber, dass ich mein Passwort nicht immer wieder eintippen muss, spätestens bei meinen eigenen Websiten, wo ich pro Tag wohl in die Hundert Male neu drauf gehe, würde ich wohl nach 3 Tagen auf der Schreibtischoberfläche mein Passwort lesen können >_<

Auch kann man schlecht voraussagen wann bei md5 kollisionen auftreten..

dann halt sha1 Oo

Gewünscht war oder ist:

Meine Frage ist nun, ob ich das Problem irgendwie umgehen kann, also die Lifetime der Session nur dann auf ein Jahr setzen kann, wenn sich der User auch wirklich einloggt.

Genau dazu sage ich: Sessions, sind in diesem Fall das falsche Pferdchen!
Das ist meine Meinung und da bringt mich auch so schnell keiner von ab..
ua. Weil: Überzeugende Argumente habe ich hier bei jetzt noch nicht dazu gehört..

Und jetzt gebe ich hier auch Ruhe!
(Meine Lust an Grabenkriegen ist nahe Null)

Original geschrieben von combie
Genau dazu sage ich: Sessions, sind in diesem Fall das falsche Pferdchen!

Jegliche andere Implementation, ist in der Grundart nicht anders als die Sessions, demnach verstehe ich deine Argumentation überhaupt nicht

demnach verstehe ich deine Argumentation überhaupt nicht

Mach..!
Bastel das Sessionmanagment so um, das es zu einem Dauerlogin mutiert.....
Und erfreue dich an den portierungs und installations Problemchen..
auf das dein Telefon nie stillstehen möge