Dodatkowe ciasteczko sesji - zabezpieczenie.

Question

Witam, podstawowe PHPSESSID z hashem md5 wydaje mi się zbyt łatwy do odgadnięcia nawet przy ataku.

Obecnie sesja niszczy się jeśli ktoś wejdzie na nią z innego IP lub przeglądarki z której ją utworzono. (mam zamiar zdjąć sprawdzanie adresu IP ponieważ dla osób z zmiennym jest to naprawdę uciążliwe)

Dodałem ciasteczko z losowymi 128 znakami i losową nazwą tej samej długości, jeśli ktoś wchodzi pierwszy raz owe ciasteczko się tworzy lub jeśli istnieje obecnie a sesja nie, zostaje zniszczone i wygenerowane nowe, przy każdym odświeżeniu skryptu php jest sprawdzane czy owe ciasteczko istnieje i jego wartości są przechowywane w sesji, musza się zgadzać inaczej użytkownik zostanie wylogowany.

Czy to znacznie utrudni "zgadywanie" identyfikatora sesji lub cokolwiek innego? Czy jest to raczej zabezpieczenie zbędne?

Answer 1

Powtórzę to co ostatnio powiedziałem. Nie wymyślaj własnych zabezpieczeń.

Witam, podstawowe PHPSESSID z hashem md5 wydaje mi się zbyt łatwy do odgadnięcia nawet przy ataku.

W obecnych wersjach PHP, PHPSESSID nie jest wynikiem hasha, tylko 128 (lub więcej)-bitową wartością pseudolosową. Z tego co wiem, zazwyczaj zakłada się, że jest to wystarczająco niezgadywalne.

Dodałem ciasteczko z losowymi 128 znakami i losową nazwą tej samej długości

A jeśli Twoja strona jest wrażliwa na XSS lub inne luki, to to atakujący może dostać się i do PHPSESSID i do tego ciastka równie łatwo.

Comments

Wszystkie podstawowe zabezpieczenia opisane na stronach zaimplementowałem, w wielu miejscach pisze że nie są one wystarczające i należy zależnie od rodzaju strony dopasować własne zabezpieczenia.

Obecnie pisze meneger sesji w PHP, poza tym wszystkie zabezpieczenia są opisy jak powinny dzialać i przykłady jak wyglądają, nie ma gotowych kawałków kodu do wklejenia - a co za tym idzie i tak trzeba je w pewien sposób napisać od nowa.

Answer 2

Nie wiem czy dobrze zrozumiałem, ale chyba chodzi Ci o to https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF) tutaj masz napisane podstawowe sposoby zabezpieczania się przed tym atakiem.