Sessions vs Originalkekse | Sicherheitsapsekte

[Odi]

Seid gegrüßt werter Leser dieses Beitrages,
nachdem ich mich (endlich... hab mich lange darum drücken können) mit sessions auseinander gesetzt habe musste ich doch feststellen das sessions mehr als ungeeignet sind für sämtliche loginscripts, da ein hijack kinderleicht ist (einfach die sid ersniffen )... da stellt sich mir die Frage ob das alte cookie-system nicht sicherer ist als das sessions-system, gut wenn session-cookies benutzt werden sollte es ja ungefähr auf das selbe Maß an Sicherheit herraus kommen.

Die Frage die mich eigentlich quält ist die:
Wie kann man halbwegs sichere sessions generieren... villeicht hat ja jemand eine vernünftige Lösung für sichere sessions gefunden, dieser darf seinem Drang nach Informationsweitergabe gerne nachgeben und mir seine Ideen/Hinweise/wasauchimmer dazu mitteilen ;)

[Progman]

ob du jetzt die session-ID aus der URL sniffs oder das Cookie was gesendet wird sniffs ist ja wohl egal ;).

Aber nicht jeder Browser hat Cookies aktiviert. Ich meine Session ist so eingerichtet das es Cookies, wenn möglich, benutzt. Sonst wird eben die Session-ID über die URL mitgeschleift. Sicherheit gegen sniffen hast du erst mit https

[Andi]

Hallo progman,
mit sessions bin ich auch gerade am ausprobieren. Ist 'ne super Sache, aber, wie Du sagst, nur mit HTTPS.
Aber: wie geht das? Wie erzeuge und uploade ich eine Formularseite, die per HTTPS aufrufbar ist? Und wie funktioniert dann das mit den Zertifizierungen für Sichere Seiten und so?
Grüße
Andi

[Matt]

hi progman, das würde mich auch interessieren, wenn du mal ne kleine einführung über SSL hier posten könntest (man findet im internet nichts dazu, nur tausende "werden sie hacker"-seiten)
Was cookies bzw. sessions betrifft, natürlich gibt es sicherere methoden.
Beispielsweise, wenn du bei jedem Request eine neue Session ID festsetzt, dann kann man zwar die Session ID erschnüffeln, aber sie bringt nichts, weil sie schon wieder abgelaufen ist.
Dazu wirst du allerdings PHP - Interne Session System nicht verwenden können, sondern musst dir was eigenes machen.
hab ich schon mal gemacht, funktioniert recht gut.

[Andi]

Hallo progman und Matt,
hier ist zumindest mal ein interessanter Link zum Thema SSL:

http://dynamic-webpages.de/php/ref.openssl.php

Zu Info: ich bin der, der neulich wegen der Unterschriftenaktion zum 1. Mal bei Euch gepostet habe.

SSL ist deshalb für mich von höchstem Interesse.
Grüße
Andi

[Matt]

die übersetzte PHP Doku hilft da auch nicht viel weiter, weil ich mich mit SSL nicht auskenne, wie das funktioniert - ich brauch grundlagen darüber, nicht das php manual! Wäre nett, wenn das jemand hätte...

http://www.ssl.de/ssl.html <- Kurzbeschreibung wie SSL funktioniert.