Skip to main content
removendo palavras que atrapalham entendimento sem acrescentar a questão
Fonte Link

Quando a sessão é iniciada, ela cria um cookie com PHPSESSID, tornando o ID público. Sabendo-se que para prevenir o sequestro de sessão o melhor é esconder o ID da sessão de outros usuários, então PHPSESSID se torna um ponto de partida para um ataque. Pode-se recorrer à session.name e session.hash_function, mas mesmo assim um cookie com um ID é fácil de ser encontrado.

Por exemplo, se eu criar uma session['nome'] = Fulano de tal para um usuário chamado Fulano, teóricamente, somente ele terá acesso à session. O problema é que se Joãozinho alterar o PHPSESSID com o valor do Fulano, ele terá acesso às sessions criadas. Cookie PHPSESSID são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada.

Estou tentando fazer uso de sessions sem a criação de cookies, tentei session.use_cookies = 0 mas todos acessos geram uma nova ID e as sessões que foram salvas são perdidas.

Realmente gostaria de usar as sessions 100% fora do alcance do cliente. Pensei em definir session.use_cookies = 0 para não fazer uso de cookies por sessão, e usar session_save_path, para gerenciar as sessões de usuário, para poder implementar mais verificações.


Pergunta 1: Minha pergunta principal é, há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?

Pergunta 2: Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.

  • Há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?

  • Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.

Quando a sessão é iniciada, ela cria um cookie com PHPSESSID, tornando o ID público. Sabendo-se que para prevenir o sequestro de sessão o melhor é esconder o ID da sessão de outros usuários, então PHPSESSID se torna um ponto de partida para um ataque. Pode-se recorrer à session.name e session.hash_function, mas mesmo assim um cookie com um ID é fácil de ser encontrado.

Por exemplo, se eu criar uma session['nome'] = Fulano de tal para um usuário chamado Fulano, teóricamente, somente ele terá acesso à session. O problema é que se Joãozinho alterar o PHPSESSID com o valor do Fulano, ele terá acesso às sessions criadas. Cookie PHPSESSID são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada.

Estou tentando fazer uso de sessions sem a criação de cookies, tentei session.use_cookies = 0 mas todos acessos geram uma nova ID e as sessões que foram salvas são perdidas.

Realmente gostaria de usar as sessions 100% fora do alcance do cliente. Pensei em definir session.use_cookies = 0 para não fazer uso de cookies por sessão, e usar session_save_path, para gerenciar as sessões de usuário, para poder implementar mais verificações.


Pergunta 1: Minha pergunta principal é, há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?

Pergunta 2: Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.

Quando a sessão é iniciada, ela cria um cookie com PHPSESSID, tornando o ID público. Sabendo-se que para prevenir o sequestro de sessão o melhor é esconder o ID da sessão de outros usuários, então PHPSESSID se torna um ponto de partida para um ataque. Pode-se recorrer à session.name e session.hash_function, mas mesmo assim um cookie com um ID é fácil de ser encontrado.

Por exemplo, se eu criar uma session['nome'] = Fulano de tal para um usuário chamado Fulano, teóricamente, somente ele terá acesso à session. O problema é que se Joãozinho alterar o PHPSESSID com o valor do Fulano, ele terá acesso às sessions criadas. Cookie PHPSESSID são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada.

Estou tentando fazer uso de sessions sem a criação de cookies, tentei session.use_cookies = 0 mas todos acessos geram uma nova ID e as sessões que foram salvas são perdidas.

Realmente gostaria de usar as sessions 100% fora do alcance do cliente. Pensei em definir session.use_cookies = 0 para não fazer uso de cookies por sessão, e usar session_save_path, para gerenciar as sessões de usuário, para poder implementar mais verificações.


  • Há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?

  • Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.

Tweeted twitter.com/#!/StackOverflowPT/status/521623421541556224
Fonte Link
Papa Charlie
  • 8,9mil
  • 1
  • 33
  • 70

Trabalhar com session sem cookies para prevenir roubo de sessão

Quando a sessão é iniciada, ela cria um cookie com PHPSESSID, tornando o ID público. Sabendo-se que para prevenir o sequestro de sessão o melhor é esconder o ID da sessão de outros usuários, então PHPSESSID se torna um ponto de partida para um ataque. Pode-se recorrer à session.name e session.hash_function, mas mesmo assim um cookie com um ID é fácil de ser encontrado.

Por exemplo, se eu criar uma session['nome'] = Fulano de tal para um usuário chamado Fulano, teóricamente, somente ele terá acesso à session. O problema é que se Joãozinho alterar o PHPSESSID com o valor do Fulano, ele terá acesso às sessions criadas. Cookie PHPSESSID são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada.

Estou tentando fazer uso de sessions sem a criação de cookies, tentei session.use_cookies = 0 mas todos acessos geram uma nova ID e as sessões que foram salvas são perdidas.

Realmente gostaria de usar as sessions 100% fora do alcance do cliente. Pensei em definir session.use_cookies = 0 para não fazer uso de cookies por sessão, e usar session_save_path, para gerenciar as sessões de usuário, para poder implementar mais verificações.


Pergunta 1: Minha pergunta principal é, há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?

Pergunta 2: Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.