Loginproblem bei AOL Browser

[koerschgen2001]

So folgendes:

Ich habe ein kleines Loginsystem gebastelt. Die Sessions werden über die IP indetifiziet.
Mit dem AOL Browser kann man sich nicht einloggen, oder eher gesagt man wird eingeloggt und direkt
wieder ausgeloggt.

Ich habe mal ein bisschen gegoogelt und den Grund für das Problem gefunden.

Zitat:
" AOL User haben dank den Proxys über die sie kommen keine "feste" Ipadressen, anhand derer man sie auf einer Seite whärend der Sessiondauer "sicher" identifizieren könnte. "


Wenn man mit dem AOL Browser surft werden andauernd verschiedene IP Adressen an die Seite gesendet.

Somit geht die Session mit indentifizierung über die IP in die Hose.

Eine Möglichkeit ist, das der AOL Benutzer sich mit dem AOL Browser einwählt(muss man ja) und dann mit einem anderen Browser die Seite aufruft, oder das für diese Benutzer eine alternative login Methode angeboten wird.
Diese funktioniert dann ohne IP, man kann dann die Sessions löschen, wenn der benutzer eine bestimmte Zeit inaktiv war.

Nur nicht jede Webseite bei der der Login über den AOL Browser klappt bietet auch eine alternative
Möglichkeit für AOL-Brower Benutzer an, z.b. auch dieses Forum.

Wie funktioniert dann da der login. Wird dann automatisch überrüft ob der Benutzer mit dem
AOL Browser unterwegs ist oder wie geht das?

[xabbuh]

Normalerweise überprüft man eben auch nicht auf die IP-Adresse:

29.15. Warum verwendet PHP nicht die IP-Nummer des Browsers als Schutz gegen eine Übernahme der Session?
http://www.php-faq.de/q/q-sessions-ip.html

[koerschgen2001]

Normalerweise überprüft man eben auch nicht auf die IP-Adresse:

Wie denn dann?
Ich hab gelesen dass ohne IP überrüfung eine Sicherheitslücke entsteht.

[xabbuh]

Wo hast du das denn gelesen?

[koerschgen2001]

In irgendeinem Forum, wo ich auch den Grund für das AOL Problem rausgefunden habe.

hmm... das müsste ich nochmal suchen um das genau bennen zu können.
---
Wie geht das denn jetzt ohne IP?

[xabbuh]

Die eindeutige Zuordnung erfolgt über die Sessionid. Diese wird entweder per Cookie, GET oder POST übergeben.

[koerschgen2001]

Wieso kann man die Sessionid nicht in einer Sessionvariable speichern?
Dann kann doch eh nur der die gestartet hat auch drauf zugreifen.

[xabbuh]

Zitat von koerschgen2001

Wieso kann man die Sessionid nicht in einer Sessionvariable speichern?

Welchen Sinn sollte das haben? Der Inhalt der Session wird dir schon allein anhand der Sessionid zugwiesen. Wofür willst du dann noch die Sessionid in der Session ablegen?

[koerschgen2001]

Zitat von xabbuh

Die eindeutige Zuordnung erfolgt über die Sessionid. Diese wird entweder per Cookie, GET oder POST übergeben.

Wofür willst du dann noch die Sessionid in der Session ablegen?

Statt Cookie, GET oder POST, sondern $_SESSION["sessionid"]!?

[meikel (†)]

Zitat von koerschgen2001

Statt Cookie, GET oder POST, sondern $_SESSION["sessionid"]!?

Was soll das? Damit der Server die Session wieder aufnehmen kann, muß er die zum Client passende Session_id erfahren! Das erledigt der Client entweder mit dem Session-Cookie oder er sendet session_name und session_id per GET/POST mit.

Und weil die Session_id eigentlich im Link nix verloren hat, legt man Wert darauf, vorrangig Session-Cookies zu verwenden. Dies teilt man dem User mit, wenn er den Keks nicht haben wollte.