Het Wat heb jij vandaag geprogrammeerd? topic

Shahiem schreef:

Gewerkt aan mijn Maintenance plugin voor Octobercms. Na een aantal dagen heb ik uitgevonden waarom mijn model niet functioneert in mijn route.

Nu nog een paar functies maken en dan online gooien.

Dan kunnen wij hem ook bewonderen (compleet)

Vandaag wou ik eens wat anders doen, ben begonnen met een Session Handler in PHP
Als;

Codeblok (super):

1

b4gFme91Pb1B695ivj.Gq/P.Ms95wQhEGGdEx0wb4tZ5tVIlFlog955cFqJdHvDZMb4Pm8G4nOwG6M95n1cQXrxgT/2b4VpzS0CDtqbob4tGAAO.kg8bQ95osDgnKpRJWw

geen sterke hash is weet ik ook niet meer
Codeblok (voorbeeld.php):

1
2

$this->key .= (rand(0, 6) >= 3 ? crypt($char[rand(0 , (strlen($char) -1))], sha1($this->salts[rand(0, (strlen($salts) -1))])) : crypt($char[rand(0 , (strlen($char) -1))], sha1($this->salts[rand(0, (strlen($salts) -1))])));

beetje overdreven een random token (via md5 (ja, md5 is acceptabel voor tokens (niet voor wachtwoorden))) is meestal voldoende voor sessions.

Te overdreven inderdaad.
Meerdere hashes maken het zwak.
Gewoon 1 of 2 hashes doen

Hmm, ja oke. Maar na elke request een nieuwe token aanmaken is wel goed toch?

Zou niet weten waarom dat nuttig is? Sessies zijn gewoon prima zoals ze zijn en als je daadwerkelijk zo belangrijk vind dat sessies niet gekaapt worden; koop een SSL certificaat van €2.

Dylanh schreef:

Hmm, ja oke. Maar na elke request een nieuwe token aanmaken is wel goed toch?

Huh? Iedere sessie = 1 token, anders heb je bij iedere pageview (=request) een nieuwe token en dus ook een volledig nieuwe sessie
En vergeet ook niet om een expire tijd op je token te zetten zodat hij automatisch verloopt. Koppel het ook aan een IP-adres en browser string ivm veiligheid.

Timkb schreef:

Zou niet weten waarom dat nuttig is? Sessies zijn gewoon prima zoals ze zijn en als je daadwerkelijk zo belangrijk vind dat sessies niet gekaapt worden; koop een SSL certificaat van €2.

Waar voor 2 euro?

Sessies kunnen op nog veel andere manieren gekaapt worden, SSL zal niet slechte beveiligingen "goed" maken

Dan maak ik wel die sessie handler af en wat minder overdreven.

Raaoul schreef:

Sessies kunnen op nog veel andere manieren gekaapt worden, SSL zal niet slechte beveiligingen "goed" maken

Zou je dat willen toelichten? Ik vraag me af hoe je een sessie id kunt krijgen door een SSL verbinding heen?

Dylanh schreef:

Eerdere citaten tonen

Timkb schreef:

Zou niet weten waarom dat nuttig is? Sessies zijn gewoon prima zoals ze zijn en als je daadwerkelijk zo belangrijk vind dat sessies niet gekaapt worden; koop een SSL certificaat van €2.

Waar voor 2 euro?

https://www.namecheap.com/campaigns/2014/reset-the-net.aspx?gclid=CjkKEQjw5LWcBRCeh8uUlqqluN4BEiQAfr64cCkK4Np2Lq3oUewH1rv-MmYACgz8G4YsTJqEtHxz0uzw_wcB

Timkb schreef:

Eerdere citaten tonen

Raaoul schreef:

Sessies kunnen op nog veel andere manieren gekaapt worden, SSL zal niet slechte beveiligingen "goed" maken

Zou je dat willen toelichten? Ik vraag me af hoe je een sessie id kunt krijgen door een SSL verbinding heen?

Beschikking hebben tot een SSL verbinding mag geen excuus zijn om de beveiliging van je sessies niet goed te maken.

Raaoul schreef:

Eerdere citaten tonen

Timkb schreef:

Eerdere citaten tonen

Raaoul schreef:

Sessies kunnen op nog veel andere manieren gekaapt worden, SSL zal niet slechte beveiligingen "goed" maken

Zou je dat willen toelichten? Ik vraag me af hoe je een sessie id kunt krijgen door een SSL verbinding heen?

Beschikking hebben tot een SSL verbinding mag geen excuus zijn om de beveiliging van je sessies niet goed te maken.

Zolang je site alleen SSL toelaat zie ik het probleem niet zo. Het is een beetje dubbelop om ook nog eens je eigen sessie handler te schrijven. m.u.z. van een user sessie manger natuurlijk maar gewone sessies, daar zie ik het probleem niet zo van om op SSL te vertrouwen.

Robiin schreef:

Eerdere citaten tonen

Shahiem schreef:

Gewerkt aan mijn Maintenance plugin voor Octobercms. Na een aantal dagen heb ik uitgevonden waarom mijn model niet functioneert in mijn route.

Nu nog een paar functies maken en dan online gooien.

Dan kunnen wij hem ook bewonderen (compleet)

Hij staat nu Pending.
Mijn poll plugin: http://octobercms.com/plugin/shahiemseymor-poll

Timkb schreef:

Eerdere citaten tonen

Raaoul schreef:

Eerdere citaten tonen

Timkb schreef:

Eerdere citaten tonen

Raaoul schreef:

Sessies kunnen op nog veel andere manieren gekaapt worden, SSL zal niet slechte beveiligingen "goed" maken

Zou je dat willen toelichten? Ik vraag me af hoe je een sessie id kunt krijgen door een SSL verbinding heen?

Beschikking hebben tot een SSL verbinding mag geen excuus zijn om de beveiliging van je sessies niet goed te maken.

Zolang je site alleen SSL toelaat zie ik het probleem niet zo. Het is een beetje dubbelop om ook nog eens je eigen sessie handler te schrijven. m.u.z. van een user sessie manger natuurlijk maar gewone sessies, daar zie ik het probleem niet zo van om op SSL te vertrouwen.

Bedoel je nu sessies in php of cookies? Ik had het namelijk over cookies.