Lidt blandet omkring sikkerhed
Har lige et par spørgsmål som jeg kunne tænke mig at få afklaret :)1. Har set/læst at udviklerne af phpBB (www.phpbb.com) krypterer session id'et med md5(). Hvad får man helt konkret ud af at gøre det, og hvordan gøres det i praksis... Ville jo umidelbart tro at den ikke kunne finde mine sessions uden videre, hvis session id'et var krypteret
2. Jeg er igang med et projekt, bl.a. indeholdende et forum i stil med eksperten her. Til det ville jeg, som de fleste andre, give brugeren muligheden for at blive logget ind automatisk fremover. Det har jeg så gjort, der sætter 3 cookies for at opnå det... 1 med brugernavnet ukrypteret, en med kodeordet krypteret med md5(), og en med bruger ID'et krypteret. Bruger ID'et er ikke kendt, med mindre du har adgang til databasen, og det har kun jeg (forhåbentlig :)
Der ved en 3-4 tiden om natten da jeg lavede det, virkede det ganske logisk og smart, men er kommet til at tænke på hvorvidt den 3. cookie med bruger ID'et overhovedet har noget formål, meningen var jo at det skulle øge sikkerheden. Men hvis enhver med den fornødne viden kan fange folks cookies og læse indholdet kan de vel også kopiere disse cookies, og så kan det hele vel være ligemeget. Eller hvad?
3. I forbindelse med førnævnte autologin ville jeg også give muligheden for at huske brugernavnet og kodeordet... Dertil endnu 2 cookies, en med brugernavnet og en med kodeordet. Men jeg bryder mig ikke om tanken, for jeg vil jo være nødt til at gemme kodeordet ukrypteret i en cookie, og det anser jeg ikke for særlig heldigt! Hvordan løser man normalt den opgave på en sikker måde? Da mit login system krypterer det indtastede kodeord for at kunne tjekke det med kodeordet i databasen, kan jeg jo ikke uden videre indsætte et krypteret kodeord i login formularen da det så ville blive krypteret dobbelt, og aldrig matche.
Håber nogen kan komme med nogen kvalificerede svar/kommentarer til dette, og på forhånd tak :)
