Это безопасная система аутентификации для приложения, управляемого Ajax?

Question

Я заранее прошу прощения, потому что я не очень хорош в объяснении вещей и блок-схем. Это не конкретная проблема кода, а общий вопрос безопасности сеанса.

Я пытаюсь устранить как можно больше потенциальных проблем одновременно. Я думаю, что это заботится о:

• CSRF
• Фиксация сессии
• Сеансовый прогноз
• Кража файлов cookie (из-за уязвимостей браузера)
• Сеанс подделки

Я понимаю, что сеанс все еще может быть взломан, если как IP-адрес атакующего, так и заголовок агента пользователя совпадают с идентифицированным пользователем. Я полагаю, чтобы сделать это пуленепробиваемым, вам понадобится SSL?

Буду признателен за любые критические замечания, если вы сможете разобрать, что я пытаюсь сказать, с помощью кластерного фека ниже. Это более или менее то, что я делаю:

РЕДАКТИРОВАТЬ - еще один вопрос, который у меня возник: безопасно ли предположить, что у пользователя не будет IP-адреса, который меняется достаточно часто, чтобы это стало проблемой?

Answer 1

Это выглядит хорошо, хотя вам нужно выяснить, что делать с AJAX-запросами, которые должны возвращать JSON или XML, когда сеанс истек.

Нет, небезопасно предполагать, что IP-адрес останется прежним. Несмотря на то, что AOL был почти мёртв, AOL был известен тем, что использовал 20-30 прокси-серверов для запроса ваших HTTP-серверов об одном клиенте удаленного доступа.

SSL является обязательным, и сертификаты сейчас очень дешевы - это должно облегчить все проблемы. "человек посередине" атакует.