Избегание угона сессии с Kohana

Question

Нужно ли делать что-то особенное, чтобы избежать перехвата сеанса с использованием инфраструктуры Кохана ? Я предполагаю, что сеанс манипулируется только с сеанс Kohana библиотека

Answer 1

Собственные сессии наиболее подвержены угону, так как они не защищены от кражи файлов cookie. К собственным сеансам применяется очень мало средств защиты, кроме значений по умолчанию, которые предоставляет PHP. Для большей безопасности вам, вероятно, следует добавить проверку агента пользователя или IP-адреса.

Сеансы Cookie соленые и поддерживают шифрование. Вы должны изменить Cookie :: $ salt , чтобы повысить безопасность.

Сеансы базы данных также используют соленый cookie для хранения идентификатора сеанса, так что, опять же, вы должны изменить соль.

Редактировать: Вы говорите о v2, который имеет большую безопасность, примененную к сеансу, поскольку он расширяет собственные сеансы. Этот подход более склонен к нечетным проблемам PHP, но обеспечивает большую безопасность. Проверьте файл конфигурации сеанса для добавления проверок user_agent и ip_address.

Answer 2

Для большей безопасности я бы использовал сеансы базы данных и шифровал файлы cookie (которые содержат идентификатор сеанса).

Answer 3

Я хотел бы проверить соответствующие файлы на GitHub .

В зависимости от используемого вами драйвера, например, native или db, вы можете копать глубже.