이 세션 관리/인증 방식이 좋습니다.

사용자가 로그인 할 때 무작위 세션 ID가 생성되어 데이터베이스 테이블 행과 세션 변수에 저장됩니다. 사이트의 인증 된 부분에 액세스하기 전에 세션 변수에 저장된 세션 ID가 사용자 테이블 행의 세션 ID와 동일한 지 확인하는 검사가 있습니다.
제 질문은 세션 변수에 부울 플래그를 설정하는 것보다 안전하다는 것입니다.이 세션 관리/인증 방식이 좋습니다.

감사합니다.

출처

2012-03-22 user1168320

세션 사전에 저장하는 세션 변수는 클라이언트의 HTTP 쿠키를 통해 세션 ID를 받으면 설정되는 간단한 메모리 사전입니다. 그 세션 ID는 이미 큰 키 공간으로 무작위로 생성되었거나 사용자가 서로의 세션 ID를 추측 할 수 있으므로 새로운 세션 ID를 생성하는 것은 완전히 낭비적이고 불필요합니다. PHP와 어떤 프레임 워크라도 인증을 처리하게하십시오. HTTPS를 사용하여 전송을 암호화해야하며 충분히 안전합니다. – Henrik

약간 안전합니다. 이제 침입자는 클라이언트와의 통신의 일부를 읽을 수 있어야합니다 (예 : Wi-Fi 스니퍼로 사무실 외부에 앉아 있거나 Mc Donald 's의 다음 테이블 또는 버스 옆에 앉아서).

그래도 여전히 좋은 생각은 아닙니다. 우선 "Google Replay attack"...

출처

2012-08-30 19:02:05 BRFennPocock

MITM 공격은 * 인증 * 프로토콜에만 국한된 것이 아니라 보안을 전송하므로 사용자의 대답은별로 의미가 없습니다. – Henrik

이 세션 관리/인증 방식이 좋습니다.

답변

관련 문제