nicht angemeldet
Session vs. Cookie vs. ??
Hi.
Meine Frage ist was sicherer ist und sinnvoller.
Ich habe ein Login. Nur wie geht es weiter?
Cookie, Session oder gibts noch was anderes? Und wie?
Das Passwort ist ziemlich aufwendig verschlüsselt aber das bietet ja nur einen Schutz gegen direkte DB Angriffe. Achja das PW und der Name ist in einer MySQl Datenbank gespeichert. Jeder Benutzer hat auch eine ID die erstellt wird bei der Anmeldung.
mfg
Das Hallo!
-
Meine Frage ist was sicherer ist und sinnvoller.
Ich habe ein Login. Nur wie geht es weiter?
Cookie, Session oder gibts noch was anderes? Und wie?Bitte mal die Frage spezifizieren, ich bezweifele, dass die Fragestellung in dieser From hier ankommt.
Beste Grüße!
-
include ('beruessung.php');
Meine Frage ist was sicherer ist und sinnvoller.
Ich habe ein Login. Nur wie geht es weiter?
Cookie, Session oder gibts noch was anderes? Und wie?Erm Sessions werden üblicherweise in Cookies gespeichert... alternativ (hab' ich auch mal gemacht) kann man die "Session" (IP, User-Id, Passwort, Ablaufzeit) auch in einer Datenbank speichern. Identifiziert wird man dann via IP. Macht aber eigentlich nur Sinn, wenn man den Benutzern "anbieten" möchte Cookies zu deaktivieren, denn sonderlich sicher ist das nicht.
Ansonsten gilt: SSL benutzen fall möglich!
die();
-
Moin!
Sorry, das sagen zu müssen, aber alles, was du geschrieben hast, ist technischer Unsinn.
Erm Sessions werden üblicherweise in Cookies gespeichert...
Nur die Session-ID wird in einem Cookie gespeichert (alternativ wird die ID per URL-Parameter weitergereicht).
alternativ (hab' ich auch mal gemacht) kann man die "Session" (IP, User-Id, Passwort, Ablaufzeit) auch in einer Datenbank speichern.
Das Speichern der Session-Daten geschieht standardmäßig in Textdateien, das kann man durch eigene Funktionen beliebig ändern - auch in Datenbanken.
Die von dir genannten Daten sind allerdings nicht standardmäßig in den Session-Daten enthalten. $_SESSION ist initial leer.
Identifiziert wird man dann via IP.
Das ist unsinnig. IPs identifizieren keine User, IPs können sich während des Surfens für jeden Request ändern. Dazu muß man einfach nur z.B. die Proxyfarm von AOL nutzen.
Macht aber eigentlich nur Sinn, wenn man den Benutzern "anbieten" möchte Cookies zu deaktivieren, denn sonderlich sicher ist das nicht.
Das Aktivieren oder Deaktivieren von Cookies und die Konsequenz daraus hat nichts mit der Art der Speicherung der Sessiondaten oder der vermeintlichen "Identifizierung der IP" zu tun.
Ansonsten gilt: SSL benutzen fall möglich!
Die Nutzung von SSL macht ein System nicht automatisch sicher. Es verhindert nur, dass auf der Übermittlungsstrecke jemand lauschen kann. Fehler im Loginsystem wären trotzdem ausnutzbar.
- Sven Rautenberg
--
"Love your nation - respect the others."
-