Quando a sessão é iniciada, ela cria um cookie com PHPSESSID, tornando o ID público. Sabendo-se que para prevenir o sequestro de sessão o melhor é esconder o ID da sessão de outros usuários, então PHPSESSID se torna um ponto de partida para um ataque. Pode-se recorrer à session.name
e session.hash_function
, mas mesmo assim um cookie com um ID é fácil de ser encontrado.
Por exemplo, se eu criar uma session['nome'] = Fulano de tal
para um usuário chamado Fulano, teóricamente, somente ele terá acesso à session. O problema é que se Joãozinho alterar o PHPSESSID com o valor do Fulano, ele terá acesso às sessions criadas. Cookie PHPSESSID são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada.
Estou tentando fazer uso de sessions sem a criação de cookies, tentei session.use_cookies = 0
mas todos acessos geram uma nova ID e as sessões que foram salvas são perdidas.
Realmente gostaria de usar as sessions 100% fora do alcance do cliente. Pensei em definir session.use_cookies = 0
para não fazer uso de cookies por sessão, e usar session_save_path
, para gerenciar as sessões de usuário, para poder implementar mais verificações.
Pergunta 1: Minha pergunta principal é, há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?
Pergunta 2: Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.
Há alguma forma no PHP de trabalhar com sessões sem a necessidade de criação de cookie?
Levando em conta que o cookie é alocado no cliente, seria dele - e só dele - a responsabilidade em não permitir que seja público, ou seja, alguém em uma máquina pública deve fazer o logout, ou o usuário usando um computador pessoal deve mantê-la livre de infecções que possam rastrear suas IDs. Essa questão eu tive como base o facebook, onde entrei em uma outra conta alterando os cookies. Era minha outra conta antiga do facebook, não há temores.