Linha do tempo de Trabalhar com session sem cookies para prevenir roubo de sessão
Licença atual: CC BY-SA 4.0
24 eventos
quando alternar formato | o que | por | licença | comentário | |
---|---|---|---|---|---|
S 24/06/2020 às 20:05 | histórico | sugerido | lucasarruda | CC BY-SA 4.0 |
removendo palavras que atrapalham entendimento sem acrescentar a questão
|
24/06/2020 às 13:44 | análise | Edições sugeridas | |||
S 24/06/2020 às 20:05 | |||||
7/11/2014 às 8:25 | voto | aceitação | Papa Charlie | ||
15/10/2014 às 7:50 | comentário | adicionado | chambelix | @Papacharlie é um trabalho para o qual fui contratado... Mas estou disponível se você precisar de alguma ajuda com alguma orientação com o seu codigo numa solução pois apesar da implementação a monitorização é uma constante... Pelo que temos de ter sempre os nossos conhecimentos updated... Cumprimentos | |
14/10/2014 às 19:43 | comentário | adicionado | Papa Charlie | @chambelix, legal. Vai disponibilizar em algum lugar? | |
14/10/2014 às 8:08 | comentário | adicionado | chambelix | @Papacharlie Olha...se te ajudar... Acabei de desenvolver para um sistema de identidades.. Controlo de sessão escalável em multi servidor... Conteudo persistente em base de dados e volátil em memcached. Forço o SSL mas não deixo de implementar verificacoes http_User_agent entre outros. Não dispensei um sistema de tokens, renovando o id em certos pontos do serviço. Em conclusão na unha mesmo. Cumprimentos | |
13/10/2014 às 20:30 | comentário | adicionado | Papa Charlie | @chambelix. Eu pretendia cuidar dos roubos de sessão justamenter tendo a base sessão sem cookie. Por isso queria saber se era possível o PHP dar essa "forçinha". Pelo visto vai ser na unha mesmo - vou garimpar todas as respostas. Mesmo assim, obrigado. | |
13/10/2014 às 17:59 | resposta | adicionado | mgibsonbr | linha do tempo pontuação: 11 | |
13/10/2014 às 14:22 | comentário | adicionado | chambelix | @Papacharlie o controlo de sessões no Php vem com o identificador que o browser guarda... O processo é esse. Deixa para o lado do servidor o controlo da sessão e todas as suas variáveis. Hijacking, para mim a melhor defesa é o SSL. Lê a minha resposta no link que o bfavaretto coloca. | |
13/10/2014 às 11:28 | histórico | twitado | twitter.com/#!/StackOverflowPT/status/521623421541556224 | ||
13/10/2014 às 11:17 | comentário | adicionado | Papa Charlie | Não acho que seja duplicata, minha intenção era uma forma de trabalhar com session sem cookie, sem me aprofundar em Hijacking. O roubo de sessão foi uma forma de mostrar o ID no cookie - o que gostaria de evitar. | |
13/10/2014 às 11:12 | comentário | adicionado | bfavaretto | Relacionadas: pt.stackoverflow.com/questions/26610/…, pt.stackoverflow.com/questions/33740/… (duplicata?) | |
13/10/2014 às 11:00 | resposta | adicionado | gmsantos | linha do tempo pontuação: 15 | |
13/10/2014 às 10:50 | comentário | adicionado | Jader A. Wagner | Entenda que se você não passar o session id por cookie, será obrigado a passar pela URL... Então uma verificação em cada requisição se ainda é o mesmo cliente é obrigatória em qualquer caso... | |
13/10/2014 às 10:48 | comentário | adicionado | Papa Charlie | Sim, e essa é a recomendação para não usar ID como parâmetro na URL. E usar um cookie para isso pra mim é trocar 6 por meia dúzia :) | |
13/10/2014 às 10:46 | comentário | adicionado | Jader A. Wagner | O cookie serve apenas para ocultar o session id da URL... Alterar o cookie seria o mesmo que alterar diretamente na URL... | |
13/10/2014 às 10:44 | comentário | adicionado | Papa Charlie | Alterar o cookie PHPSESSID, de imediato permite acesso às sessões. Posso fazer verificações mais a fundo dentro do sistema, mas queria saber uma forma de criar as sessões sem a necessidade do cookie para gerenciar o ID. | |
13/10/2014 às 10:42 | comentário | adicionado | Jader A. Wagner | Certamente, mas é melhor que nada... Usando várias verificações em conjunto pode ficar bem seguro... E num contexto geral da sua pergunta me parece que você esta confundindo sequestrar a session, com sequestrar um cookie contendo login e senha, e neste caso uma nova session logada é criada... | |
13/10/2014 às 10:39 | comentário | adicionado | Papa Charlie |
@Jader, bem interessante, $_SERVER tem algumas variáveis não confiáveis. O próprio IP não é 100%. user agent até poderia servir como um SALT.
|
|
13/10/2014 às 10:36 | comentário | adicionado | Jader A. Wagner | Você guarda do IP e o user agent na session, e compara com as variaveis $_SERVER na proxima requisição... | |
13/10/2014 às 10:33 | comentário | adicionado | Papa Charlie | @Jader, mas se eu guardar em cookie ele pode ser clonado, e se guardar em session pode comparar com a 'roubada'. Ou será que entendi errado? | |
13/10/2014 às 10:32 | comentário | adicionado | Jorge B. | +1 Muito boa pergunta. | |
13/10/2014 às 10:30 | comentário | adicionado | Jader A. Wagner | Já pensou em comparar o IP remoto e o user agent, e em caso de inconsistência, destruir a session? | |
13/10/2014 às 10:10 | histórico | perguntada | Papa Charlie | CC BY-SA 3.0 |