Cookies zur überwachung

K

Kerwin

Erfahrenes Mitglied
Schutz vor Multi Accounts

Hallo die Herrschaften,

habe da ein kleines Problem.
Um die Sachlage mal vereinfacht vorzustellen, gehen wir einfach mal davon aus, das ich nen Onlinegame habe und MultiAccountUsing unterbinden will.
Dazu habe ich mir überlegt gehabt, einen Cookie zu platzieren und immer wenn einer gestzt wird, gibts nen eintrag in die DB. Je häufiger die gesetzt werden, desto höher der Verdacht eines Multis. Verdacht daher, weil er den Cookie löschen kann und somit in einen anderen Account einloggen kann. Mit bestehendem Cookie kann er nur in einen Account rein.

Hat dazu jemand ein gutes Beispiel zur realisierung?
ATM stelle ich mir das so vor, das wenn er sich einloggt, er einen usernamen aus der DB zieht und diesen 3mal mit md5() verschlüsselt. Der gleiche Hash steht dann im Cookie drin und dann wird verglichen. md5() deswegen, damit der user net das Cookie einfach mit einem anderem Accountnamen editieren kann. ja soweit alles gut(theoretisch)


Nun aber zum eingentlichen Problem:
Was ist, wenn der User sich einen Cookie irgendwohin speichert, den aktuellen im Cookie Verzeichnis löscht und sich somit in einen anderen Account einloggen kann und nach der Nutzung diesen wieder löscht und den alten Cookie wieder reinkopiert?
Habe das mal so ansatzweise probiert und es ging, also Multis haben ne Chance.

Kann man da was intelligentes einbauen damit Dieses nicht mehr möglich ist? Chksummen etc, ka.

IP Adressenvergleich will ich nicht machen, da es zu ungenau ist zwecks Router und 5 Heim P'cs und ggf auch wegen dynamischen IPs was ja dann auch nix bringt(man kann sich ja schnell mal neu einloggen etc)
 
Zuletzt bearbeitet:
soweit ich weiss, kannst du das nicht verhindern, dass wenn jemand den aufwand auf sich nimmt, das cookie jedesmal zu löschen, er auch mehrere accounts haben kann..

vielleicht gibt es eine möglichkeit, aber ich kenne keine.

und wieso willst du den usernamen "dreimal" md5 verschlüsseln. dadurch ist es nicht imho keineswegs sicherer
 
naja, sicherer ist es dadurch nicht, aber der User muss mehr Arbeit betreiben und die Datein kopieren statt nur in der cookie Datei einen anderen Namen zu schreiben. SOll den User also verwirren. Vielleicht glauben "dumme" User dann auch, das dies net so wichtig ist, ka.

Also das man es net unterbinden kann ist mir auch aufgefallen, drum die frage nach einem intelligenten/gut ausgetüfftelten php algorythmus der bestimmte werte prüft oder sonstiges. Also rein phptechnische Alogos.

Man könnte ggf die Auflösung, OS, Explorer etc etc mitloggen, aber ka ob das zum Efolg führt.


*Edit*
Oder bekommt man heraus, wann eine bestimmte Datei erstellt wurde auf dem Client Rechner? Dann könnte man die Zeit in der DB speichern und diesen Wert auch noch in den Cookie speichern und wenn es da zu großen abweichungen kommt, stimmt was net
 
Zuletzt bearbeitet:
Ein wirklich schummelsicheres System ist sehr schwer zu machen. Cookies sind jedenfalls denkbar unsicher, da reicht ja schon, einen anderen Browser zu verwenden.
Auszerdem kann man auch die sachen wie Bildschriimauloesung und ueberhaupt alles faelschen, was zum Server geschickt wird. Der Client kann sich ja anschauen, was er so an den Server senden, sich dann schnell ein Script schreiben, das dann seine editierten Werte stattdessen sendet.

Siehe dazu auch:

http://www.dclp-faq.de/q/q-scripte-abstimmung.html
 
das man es nicht 100% unterbinden kann war mir ja eigentlich klar, nur will ich das soweit wie möglich eindämmern und die kreativität der User bissel fordern ;)

wenn Ich mir den Cookie mal im Texteditor anschaue stehen ja noch eine ganze reihe andere Parameter drin, weiß jemand was diese zu bedeuten haben und wie man diese auch in PHP auslesen kann?(wenn sie nützliche infos haben)

der reihe nach(die ersten 4 sind klar)
xyz, abc, localhost, cookie, 0, 2668306560, 29644640, 2072886560, 29644640, *

Also timestamps sind das nicht.
Kann man irgendwie an das erstellungsdatum des Cookies herankommen? filemh... greift ja nur auf bestehendes DateiSystem zu.
 
Also timestamps sind das nicht.
Kann man irgendwie an das erstellungsdatum des Cookies herankommen? filemh... greift ja nur auf bestehendes DateiSystem zu.
Zum Vergrößern anklicken....

Wie wärs denn wenn du den Timestamp mit in dem cookie speicherst dann hast du doch das Erstellungsdatum des Cookies. Aber naja ein bisschen Paranoid klingt es doch schon was du vorhast.

Gruß Mirko
 
Öhm, hat nix mit paranoid zu tuen, sondern einfach bissel unterbindung von Multi Accs.

Den Timestamp der Erzeugungszeit bringt mir effektiv nur dann etwas, wenn ich auch das Erzeugungsdatum des Cookies irgendwoher auslesen kann. Oder wozu brauch ich das Ding sonst? Kann es ja in Cookie reinschreiben damit der das ding wieder nur speichern braucht. Also hat man so nix gewonnen.
Alle Werte die im Cookie stehen können da nicht viel bringen(es sei denn intelligent eingesetzt). Am besten wäre es mit Dateiinformationen, also wann es erstellt wurde, wann geändert etc.

Also so "einfache" Sachen bringen nix, hab ich mir auch schon gedanken gemacht, sonst würd ich ja net posten und nach intelligente Lösungen fragen(net böse nehmen Mirko D)
 
Zumindest einige der DAten eines Cookies sind Timestamps, die legen naemlich die Lebensdauer des Cookies fest.

An die kommst du auch ueber [phpf]setcookie[/phpf] ran.

Aber nochmal: Cookies bietet echt null Sicherheit. Es muss ja nur ein anderer Browser verwendet werden.
Und auch all die anderen Client Daten sind extrem unzuverlaessig.

Informationen ueber Dateien auf dem Rechner des Clients kannst du eh nicht holen - waere ja auch noch schoener, wenn du da irgendwie Zugriff haettest.
 
ALso timestamps sind das nicht. adtm liegen wir doch mit timestamp im 1er vorne und die Zahlen beginnen da alle mit 2 zudem der Cookie auch nur 5 sekunden lang halten soll.

Naja, ich dachte da gäbe es ggf eine möglichkeit an die Cookie externen Daten zu kommen weil ja der Cookie an sich verwendet wird.

Gibt es denn ggf andere möglichkeiten sich wenigstens ein wenig vor Multis zu schützen?
 
ich möcht jez auch mal meine Senf dazu ablassen =)

Wieso denn überhaupt Cookies...
Ausserdem, Wer was bestimmtes erreichen will, der schafft das auch so.

Gibt es in PHP nicht eine Möglichkeit einen schlüssel in die Registry einzutragen!?
einen billigen befehl wie Localmachine//bla/bla/vincent=1
(um sicherer zu sein, was absurdes was in keinerlei verbindung zur Seite gebracht werden kann)
Beim Betreten der Seite wird sofort die neuauswahl gesperrt.
Zusätzlich könnte man das mit einem Cookie kombinieren, der Name usw speichert.

Somit wäre ein Cookie Missbrauch (zumindest hätten davon sicher die meisten Ahnung, ich sag nur "Festplatte aufräumen"-anklicken) und du sparst dir den ganzen Aufwand.

Die einzigsten Möglichkeit in beiden Fällen die ich dann noch sehe, ist von einem Anderen PC (oder nach neuinstallation) einen Account anlegen.

Und wenn ich weiter nach denke =) dann kann man auch bestimmte daten vergleichen usw.. lohnt das alles überhaupt? schreibst du ein script für eine Bank?=))
 
Um antworten zu können musst du eingeloggt sein.

Neue Beiträge

Zurück