איך לאבטח סשן?

[PHPSQL]

איך לאבטח סשן?

 

[bnayal]

לאבטח ממה?

אתה יודע מה ההבדל בין סשיין לעוגיה?

 

[PHPSQL]

עדיין לא למדתי על עוגייה,אבל סשן כן ...

והשתמשתי איתו במערכת התחברות, יש איזה אבטחה שצריך לעשות לו ............ (אני רק יודע שעוגייה זה אצל הלקוח )

 

[bnayal]

אז ככה

עוגיה - התוכן שלה נשמר על מחשב המשתמש, ושולח אותו כל פעם לשרת (את התוכן). המשתמש יכול לשנות את תוכן העוגיה ולכן אי אפשר לסמוך עליו במידע קריטי (למשל לא לשמור שם משתמש בעוגיה ולחבר את המשתמש לאתר ע"פ המידע הזה). סשן - דומה לעוגיה אבל עם כמה שינויים - 1. התוכן שלו לא נשמר על מחשב המשתמש אלא על השרת. על מחשב המשתמש נשמר session id בתוך עוגיה, בד"כ זה נשאר לזמן קצר יותר מעוגיה (תלוי בהגדרות של כל אחד מהם). כאשר המשתמש פונה לאתר הוא מעביר לשרת את ה session id וככה השרת יודע לקשר בין הלקוח לעוגיה ולקרוא את תוכן הסשיין המתאים. כאן התוכן של הסשיין לא חשוף למשתמש מכיוון שהוא שמור בשרת, מצד שני ה session id כן ניתן לשינוי ע"י המשתמש. עכשיו, אם יש שאלה יותר ספציפית - שאל. בניה (ל)

 

[PHPSQL]

אז אם הסשן ID חשוף,הוא יוכל לשנות את הID

וכך להתחבר בתור משתמש אחר? ##או שהID זה מספר רנדומלי ארוך שאין לו מושג לנחש??

 

[bnayal]

הID הוא מספר ראנדומאלי

יש כל מיני דרכים לזייף לID של מישהו אחר וכו', היה על זה שירשור יפה לא מזמן, חפש הודעה של stac עם קישור בנושא. פשוט צריך להכיר כמה שיותר את הנקודות תורפה ולמנוע אותן כמה שאפשר.

 

[omni4]

זו שאלה

שאלתי לפני שבוע ואז שאלו אותי למה אני צריך לשמור את ה-session ID. בבקשה

 

[bnayal]

לא הבנתי מה אתה רוצה.... נראה לי איבדת אותי

איפשהו באמצע ההודעה.

 

[omni4]

לא ממך

התשובה שנתת, היית לשאלה ששאלתי לפני כמה ימים ושמה ציינו בדיוק ההפך. זה היה מכוון למי שענה לי לפני כמה ימים.

 

[bnayal]

אני חושב שלא הבנת את התשובות שם...

אין שם שום דבר שסותר את מה שאמרתי... זה רק דיבורים מה נכון יותר לעשות. מה ששאלת זה האם לשמור בתוך עוגייה סוג של session id שמקשר ל-session שאתה מנהל בDB למשל ולא סשן שמנוהל ע"י השרת. ככה אני הבנתי וככה נראה לי שהבינו אותך... בניה

 

[omni4]

לא ברור

לי איפה ראית שמדברים על DB בעניין ה-session?

 

[bnayal]

לא משנה, יש לנו קצר בתקשורת כנראה,

אתה לא מבין אותי ואני לא מבין אותך, קורה... שבת שלום

 

[ברבוריאן]

זה באמת כל מה שצריך לדעת בענין !