cookies in php en hun veiligheid

[gbolssens]

Hi allemaal.

Ik ben me er van bewust dat de data in een cookie verre van geheim is, maar ik zou graag willen weten of ik mijn applicatie moet beveiligen tegen mensen die de waarde van een cookie veranderen.

Kan je van een bestaande cookie de waarde of de expiry wijzigen? of kan je een cookie "faken"? zodat de applicatie denkt dat 'ie al geset is terwijl dit op een "illegale" manier gebeurde?


mvg en alle reacties zijn welkom,
GB

[Voetsjoeba]

Ja, je kan de inhoud van cookies wijzigen. Ja, je kan een cookie faken. Om zo veilig mogelijk te zijn mag je absoluut nergens van uit gaan qua user input.

[voskuh]

Ik heb zelf een add-on voor FireFox waarmee ik inhoud van cookies kan zien, wijzigen, toevoegen en verwijderen. In principe kan ik alle velden veranderen.

[gbolssens]

crap, dan ga ik even moeten nadenken.
Zijn sessions dan op dat vlak veiliger om het "ingelogd zijn" van een bepaalde gebruiker te checken?

alvast heel erg bedankt,
GB

[josko]

Oorspronkelijk geplaatst door gbolssens

crap, dan ga ik even moeten nadenken.
Zijn sessions dan op dat vlak veiliger om het "ingelogd zijn" van een bepaalde gebruiker te checken?

alvast heel erg bedankt,
GB

ja, sessies zijn veiliger. Omdat die data op de server bewaard wordt, en ook nog niet in hun echte vorm, maar ge-encrypt of gecodeerd.

let wel, door het stelen van cookies kan een sessie overgenomen worden. (ip/tijd checks helpen)

[De Kale]

je kunt wel een veilig systeem maken dat gebruik maakt van cookies of sessies (ook sessies werken namelijk met cookies).

Je kunt bijvoorbeeld in de cookie een md5 hash opslaan, die alleen geldig is voor de sessie dat de gebruiker ingelogd is (de tijd dat de gebruiker bestaat). Als de gebruiker inlogt, genereer je een nieuwe md5 hash in de database voor die gebruiker.
Je communiceert dan alleen in je cookie de md5(), zolang als deze overeenkomt met de waarde in de sessie (die vanzelf afloopt als je de browser sluit) ben je ingelogd
De waarde van de md5 hash zelf kun je gebruiken om data uit de database te halen voor die gebruiker.

[gbolssens]

Hi De Kale,

Da's idd wel een strak plan. Ik zou dan bvb de login met de unix timestamp van het moment van inloggen (afgerond naar het eerstkomende hele uur ofzo, dan zou het al heel veel toeval moeten zijn dat dat net mislukt) kunnen concateneren en daar de MD5 van trekken.... Ik ga hier even over nadenken en laat weten wat ik heb gevonden

thx+grtz
GB

[gbolssens]

P.S.: gelukkig heb ik een functie geschreven admin_is_ingelogd() die wordt gechecked op true of false voordat de content wordt weergegeven. Zo moet ik alleen maar de include waarin die funtie staat opnieuw te schrijven en alles draait weer als een zonnetje