Защита сессии и куки

1

У меня мало вопросов по обеспечению сеансов и файлов cookie.

  1. Сессия, являющаяся временным файлом на сервере, удаляется при закрытии браузера. Я считаю, что непростой задачей является нарушение сеанса. Более того, все учебники и документации, которые учат секрету защиты, говорят о защите файлов cookie, поэтому я могу предположить, что, когда мы используем только сеансы, срок действия которых истекает на выходе браузера, не требует специальных методов обеспечения безопасности сеанса. Если да, то что мы можем использовать для обеспечения безопасности?
  2. Cookies действительно нуждаются в внимании при использовании функций автоматического входа. Мы можем включить строгий режим для дополнительной безопасности, который отвергает неинициализированные сеансы. Не используются файлы cookie в неинициализированных сеансах автоматического входа.
  3. При использовании автоматического входа в систему я думаю о том, чтобы безопасно хранить файл cookie, регенерируя идентификатор сеанса, а затем хэшируя его с помощью sha512, будут ли эти безопасные файлы cookie?
  • 0
    Сеанс на стороне сервера не обязательно является файлом. Он не удаляется при закрытии браузера.
  • 0
    Что касается 3, это ничего не помогает, так как в следующий раз, когда пользователь заходит на ваш сайт, у него будет новый идентификатор сеанса, поэтому любая информация о предыдущем идентификаторе сеанса бесполезна.
Теги:
security
cookies
session

1 ответ

1

  1. Читайте: Быстрый переход на безопасные и безопасные сеансы PHP.

    Есть несколько способов хранения данных сеанса:

    • В файле (поведение по умолчанию PHP)
    • В базе данных (многие структуры делают это)
    • В memcached (что я делаю)
    • В самом печенье (как правило, плохая идея)

    Если вы не передаете данные сеанса (т.е. Ваша база данных находится на другом сервере или ваша memcached работает на нескольких серверах, и вы не уверены, что она использует TLS для связи между узлами), вам обычно не нужно ничего делать данные сеанса.

  2. Авто-логин - это действительно сложный вопрос и отдельная проблема с обычных сеансов. Ранее я писал об защищенных куках "запомнить меня".

  3. Прочтите ссылку в # 2. Не сразу понятно, что вы здесь описываете, но это звучит сомнительно.

Поделиться

Ещё вопросы

Сообщество Overcoder
Наверх
Меню