Sicherheit beim Login

**penizillin** · 03.04.2007, 12:28

im prinzip - ja. es bleiben nur die üblichen bedenken bzgl. session id klau (sniffing / cookie).

**wahsaga** · 03.04.2007, 12:28

Re: Sicherheit beim Login

Überlege dir, welche Möglichkeiten du siehst, dass bei einem nicht angemeldeten Nutzer der Wert in der Session auf true stehen könnte.

**enforcer** · 03.04.2007, 12:31

Da die Session an den Browser und die Seite gekoppelt ist, bleibt wohl nur Sessionklau, etc... Wenn ich abfrage ob session_id() gleich der in der db eingetragenen Session ist, dann habe ich ja nur mehr Quellcode. Sessionklau, usw. dürfte immer noch das gleiche Problem sein.

**LoronorZorro** · 03.04.2007, 12:46

Ich würde username und pw (md5 möglicherweise) in session speichern und bei allen wichtigen aktionen auf der hp die nochmal mit db abgleichen lassen, ist zwar performance last aber viel sicherer.

**wahsaga** · 03.04.2007, 12:52

Original geschrieben von LoronorZorro
Ich würde username und pw (md5 möglicherweise) in session speichern und bei allen wichtigen aktionen auf der hp die nochmal mit db abgleichen lassen, ist zwar performance last aber viel sicherer.

Ja, genau - erst MD5-en, und dann mit DB-Inhalten vergleichen

Legst du dann auch bereits MD5 in der DB ab (mit Index drauf?) - oder lässt du das dynamisch berechnen ...?

**enforcer** · 03.04.2007, 12:53

die pw sind alle md5 schon in der Datenbank.

**LoronorZorro** · 03.04.2007, 12:56

Original geschrieben von enforcer
die pw sind alle md5 schon in der Datenbank.

Dann würde ich das PW md5 crypted in nem Cookie/Session ablegen und bei allen wichtigen Sachen mit der DB abgleichen.

**ghostgambler** · 03.04.2007, 13:28

Original geschrieben von LoronorZorro
Dann würde ich das PW md5 crypted in nem Cookie/Session ablegen und bei allen wichtigen Sachen mit der DB abgleichen.

So ein Käse...
Es reicht auch einfach die SID.

**LoronorZorro** · 03.04.2007, 13:39

Original geschrieben von ghostgambler
So ein Käse...
Es reicht auch einfach die SID.

Ich finde SID ist das unsicherste was es gibt, zumindestens über URL übergeben.

**jahlives** · 03.04.2007, 14:05

Ich finde SID ist das unsicherste was es gibt, zumindestens über URL übergeben.

Und was ist daran sicherer das gehashte Passwort zu übertragen ? Anhand des Hashes kann man wunderbar brute forcen, anhand der SID garantiert nicht !
Und warum sollte es viel sicherer sein die Session ID via Cookie zu übertragen ? Wenn einer einen Man in the Middle Angrif macht, dann schneidet er Cookie wie URL einfach so mit

Gruss

tobi

**ghostgambler** · 03.04.2007, 14:31

URL ist unsicherer, weil die SID per Referer bei anderen Servern landet (/landen kann) - zum Rest äußere ich mich gar nicht erst, dazu gibt es wunderbare Artikel; wer nicht will der hat schon

Sicherheit beim Login