✔ Was speichern nach dem Einloggen und Sicherheit?

[trage]

Tach,

da ich es satt habe ständig ein neues Login Script zu schreiben, bin ich zur Zeit dabei eines zu schreiben welches ich leicht in jedes Project einfügen kann. So weit funktioniert auch alles, jedoch stell ich mich die Frage, was sollte ich nach dem Login speichern? Ich habe es zur Zeit das Benutzername und Passwort(md5 verschlüsselt) in der Session gespeichert wird. Die Lösung ist denke ich.... mangelhaft.
Eine Sache ist natürlich über die funktion unique eine einzigartige Session id zu schreiben, die dann gespeichert wird und der User so identifiziert werden kann.
Ist das schon das optimum? Oder gibs da noch etwas besseres?

Als nächstes wollte ich mal Fragen was es da noch so an Sicherheitskriterien gibt, die ich evtl. beachten sollte. MySQL injections habe ich schon vor gebeugt.

Ich weiß das es im Internet immerwieder Artikel gibt die sich mit der Frage beschäftigen, da es aber doch recht gespaltene Meinungen gibt, frage ich trotzdem

gruß trage

 

[Flex]

Ein Passwort sollte unter keinen Umständen in der Session gespeichert werden.
Auch MD5 ist ohne Salt nicht mehr sicher.

Ich speichere in der Session die Benutzer ID, die Zeit des Logins und der letzten Aktion.
Das wars auch schon.

 

[trage]

Ein Passwort sollte unter keinen Umständen in der Session gespeichert werden.
Auch MD5 ist ohne Salt nicht mehr sicher.

Ich speichere in der Session die Benutzer ID, die Zeit des Logins und der letzten Aktion.
Das wars auch schon.

Thx, das mit der Zeit des Logins ist natürlich ne sehr gute idee. Das dass Passwort da nicht bleibt ist schon klar gewesen. War nur vorrübergehend bis ich was gutes habe
Aber wofür speicherst du die Zeit der letzten Aktion? Tu ich zwar atm auch. aber bisher nur in der Datenbank.

 

[Gumbo]

Wenn du den Zeitpunkt der letzten Aktivität speicherst, kannst du die Gültigkeit einer Sitzung unabhängig von Einstellungen wie session.gc_maxlifetime und session.cookie_lifetime bestimmen und sie so gegebenenfalls die Sitzungs-ID austauschen oder die gesamte Sitzung entwerten. Diese beiden Werte sind dafür nämlich nicht geeignet.

 

[trage]

Dann mal vielen dank, hatt sehr geholfen.