phpsessid - стоит ли менять имя сеанса на что-то хешированное и специфичное для посетителя - PullRequest
3 голосов
/ 24 октября 2011

Мне интересно, стоит ли в целях безопасности использовать функцию session_name (), чтобы переименовать phpsessid по умолчанию в хэшированный или зашифрованный идентификатор?

Если это так, то какой способ лучше всего реализовать?это ??

Спасибо,

Ответы [ 2 ]

1 голос
/ 24 октября 2011

В Интернете много написано об этом, и предыдущие вопросы я читал на StackExchange. Шифрование вашего session_id просто создает другое случайное число, которое так же легко перехватить, как и исходное случайное число.

Если вы подумаете об этом, если вы зашифруете сеанс, вы либо переназначите session_id на новый номер (в этом случае вы ничего не добились), либо вы будете использовать функции шифрования / дешифрования в вашем скрипте.

Если вы используете последний метод, и кто-то получит зашифрованный идентификатор сеанса других пользователей, он будет расшифрован вашим сценарием, и доступ по-прежнему будет предоставлен.

Короче говоря, очень мало смысла и никакой реальной пользы в дальнейшем шифровании вашего session_id сверх случайного числа, которое ему присвоено.

0 голосов
/ 03 ноября 2018

Переименуйте PHPSESSID в другое имя, скажем, MYNEWNAME , потому что любой, кто мало знает о PHP , знает, что сервер HTTP не знает поддерживать состояние и может отслеживать только пользователей, использующих PHPSESSID . PHPSESSID хранится в файле cookie клиента, поэтому я не считаю его безопасным. Кто-то может подстроить это и выполнить какое-либо действие (например, сообщение о статусе Facebook) всякий раз, когда сеанс был успешно захвачен. Подробнее о https://codereview.stackexchange.com/questions/75310/protect-from-people-bruteforcing-the-phpsessid

...