Login - taglib - sessionshåndtering

hvad mener du med session kataloget ?

Du skal sætte din streng i dit session objekt, det objekt kan KUN den session brugeren har kigge i.
Selv hvis brugeren har 2 browsere åben, har hver browser sin egen session, og de kan ikke se hinanden.

Det jeg selv gør er at der på alle beskyttede sider bliver inkluderet en lille jsp side, som checker om brugeren har den streng på sin session stack, hvis ikke bliver man redirectet til login siden.

Ok Disky lad os sige at strengen hedder valid, og at man på hver side kigger, om Strengen valid eksisterer i sessionen. Hvis den eksisterer er brugeren logget på, hvis ikke den eksisterer er brugeren ikke logget på, og redirectes derfor til login siden. Så langt så godt.

Så spørger jeg:

Hvad hvis der sidder en hacker og spørger efter http://en_sti/restricted.jsp. Nu finder denne hacker på, at smider en Streng ned i sin session, der hedder valid, det vil sige han gør det samme som mig. Ergo vil min jsp side tro han er logget på, og han er inde.

Nu ved jeg godt det ikke er ligetil for en hacker, at finde ud af hvad man sætter i sessionsobjektet som sikkerhed for man er logget ind, men kan du se min pointe ?

hilsen Daniel

For at gemme noget på session stacken skal hackeren kunne gemme et program og eksekvere det i samme session scope som brugerens browser har. Det er mig bekendt ikke muligt.

Din java server tildeler hver enkelt session et unique 40 tegns Session ID, det skal hackeren gætte, + han skal gemme et program på din server og køre det med den id. Der er godt nok MEGET svært, selvom jeg tror det er 100% umuligt.

Det en hacker kan gøre er at sniffe de tcpip pakker der sendes fra clienten til serveren, og derved finde ud af username og password.

Dette kan du dog forhindre ved brug af SSL.

Enig.

Faktisk er det væsentligt lettere for hackeren at snage brugernavn/password, end at fuske sig ind i sessionen, så det giver ikke rigtig mening at bryde hovedet med, hvordan man kan gøre det endnu sværere.

Nu mener jeg ikke at en hacker skal fuske sig ind i min session, men fuske sig ind på nogle restrikte jsp sider med en session, der har samme mønster som mit. Altså han laver selv en session på sin server ( med fx. et valid object, der inderholder samme streng ), og tilgår så en af mine jsp sider med en direkte URL. Da mine jsp sider jo kun kigger efter om sessionsobjectet har en streng ved valid vil han så få lov at kigge på min side.

Man kan da sige at det kan være svært nok, da han både skal gætte navnet på det object jeg sætter som attribut, og værdien af denne attribut, men I kan da godt se hvad jeg mener ikke ?

Hackeren kopierer ikke min eksisterende session, men efterligner en session så den godkendes.

mvh. Daniel

Ved nærmere eftertanke kan jeg nu se hvad Disky mener :)
Alligevel mener jegstadigvæk det kan lade sig gøre. Dog skal jeg nok lave et opslag, hvis jeg finder ud af det.

Men tak for svarene, og kommentarene.

mvh. Daniel