Vaak is het alleen de 4e en dus laatste octet bij T-mobile in de trein. Maar ik gok dat elke trein weer een verschillend 3e octet heeft. Het is zo verschillend dat je er altijd rekening mee moet houden, en dat het in mijn ogen niet echt functioneel lijkt voor een dergelijk sessiesysteem, tenzij je de situatie per ISP kan beschrijven...
Voor mijn Multisess heb ik altijd een unieke MD5-hash en een userID in de database opslagen, en zowel in een cookie geplaatst. Deze moeten dan overeen komen. Je kan natuurlijk voor de veiligheid alleen IPs toestaan die de gebruiker heeft gebruikt tijdens zijn bezoeken op de site.
Dan is een cookie stelen voor een omstander geen optie meer, tenzij hij zelf het IP van het slachtoffer gehad heeft.
Pls geen ips verwerken in je sessie. Ik heb bij One2xs heel veel last gehad dat ik niet op One2xs kon omdat ik inlog op het eerste IP en dan bij sommige requests komt er ineens een ander IP te staan en dan ben ik dus uitgelogd en als ik weer opnieuw inlog dan log ik weer in op het eerste IP en dan krijg ik bij de volgende request ook weer 2e IP en die is weer uitgelogd. Op 2e IP kon ik niet echt inloggen want die kreeg ik heel random. Als ik naar mijnip.nl ging zag ik elke keer maar een vast IP maar had ooit met Lennard er over ge PBt en die zag toen volgens mij ook 2 IPs op mijn sessie / account.
Ook directadmin werkt (werkte toen) zo. Aangezien ik toen na het inloggen de pagina zag maar de helft van de pagina (dingen zoals images) konden niet geladen worden omdat ik alweer uitgelogd was door mn 2e IP.
toevoeging op 31 juli 2014, 18:38:13: En dan heb je ook nog IPv6 adressen, wil je er allemaal rekening mee houden? Dan moet je het gewoon niet doen
Pls geen ips verwerken in je sessie. Ik heb bij One2xs heel veel last gehad dat ik niet op One2xs kon omdat ik inlog op het eerste IP en dan bij sommige requests komt er ineens een ander IP te staan en dan ben ik dus uitgelogd en als ik weer opnieuw inlog dan log ik weer in op het eerste IP en dan krijg ik bij de volgende request ook weer 2e IP en die is weer uitgelogd. Op 2e IP kon ik niet echt inloggen want die kreeg ik heel random. Als ik naar mijnip.nl ging zag ik elke keer maar een vast IP maar had ooit met Lennard er over ge PBt en die zag toen volgens mij ook 2 IPs op mijn sessie / account.
Ook directadmin werkt (werkte toen) zo. Aangezien ik toen na het inloggen de pagina zag maar de helft van de pagina (dingen zoals images) konden niet geladen worden omdat ik alweer uitgelogd was door mn 2e IP.
toevoeging op 31 juli 2014, 18:38:13: En dan heb je ook nog IPv6 adressen, wil je er allemaal rekening mee houden? Dan moet je het gewoon niet doen Ik houd IP adressen, en useragents wél in de sessie. Ik heb het expres strict gedaan omdat ik mijn veiligheid iets belangrijker dan het gebruiksgemak. (Ik spreek hier over mijn eigen CMS.)
Ik heb bij One2xs heel veel last gehad dat ik niet op One2xs kon omdat ik inlog op het eerste IP en dan bij sommige requests komt er ineens een ander IP te staan en dan ben ik dus uitgelogd en als ik weer opnieuw inlog dan log ik weer in op het eerste IP en dan krijg ik bij de volgende request ook weer 2e IP en die is weer uitgelogd. Op 2e IP kon ik niet echt inloggen want die kreeg ik heel random. Als ik naar mijnip.nl ging zag ik elke keer maar een vast IP maar had ooit met Lennard er over ge PBt en die zag toen volgens mij ook 2 IPs op mijn sessie / account.
Ook directadmin werkt (werkte toen) zo. Aangezien ik toen na het inloggen de pagina zag maar de helft van de pagina (dingen zoals images) konden niet geladen worden omdat ik alweer uitgelogd was door mn 2e IP.
toevoeging op 31 juli 2014, 18:38:13: En dan heb je ook nog IPv6 adressen, wil je er allemaal rekening mee houden? Dan moet je het gewoon niet doen Ik houd IP adressen, en useragents wél in de sessie. Ik heb het expres strict gedaan omdat ik mijn veiligheid iets belangrijker dan het gebruiksgemak. (Ik spreek hier over mijn eigen CMS.)
Dit doe ik dus ook, het aspect veiligheid is inderdaad boven het gebruikersgemak op mijn lijstje.
Mijn IP veranderd elke week (bewust), vaak in een compleet andere range, af en toe in de zelfde range, ik heb Ziggo.
Bovendien moet je geen IPs koppelen aan sessies. Dit is erg onhandig voor de gebruiker. (bijv; mobiel internet) Veiligheid boven gemakt stellen bij sessies gaat je veel klanten kosten, ik irriteer me mateloos aan dit soort systemen en mijdt sites die dat doen, One2xs is een van de weinige uitzonderingen. Als je daadwerkelijk om veiligheid geeft dan gebruik je SSL en niet domme oplossingen zoals IPs.
De kans dat een sessie gehijackt wordt is nihil tenzij je Facebook, Paypal of soort gelijke dienst hebt met miljoenen gebruikers. Mocht iemand het dan toch willen proberen dan maakt SSL dat remote al onmogelijk, dan zou er fysiek contact met het device nodig zijn of een virus die data verzameld. In dat tweede geval zou een oplossing zoals IPs in sessies verwerken de hacker kunnen tegenhouden, echter als iemand al zo ver weet te komen dan is hij vast en zeker slim genoeg om een RDP o.i.d. op te zetten of in de achtergrond iets uit te laten voeren.
Hier heb ik ook een dynamisch IP-adres, alleen het IP-adres is in 7 jaar maar 1x veranderd, en dat kwam door problemen met het modem dat wij destijds hadden, verder nog nooit wisselingen gehad.
Hier heb ik ook een dynamisch IP-adres, alleen het IP-adres is in 7 jaar maar 1x veranderd, en dat kwam door problemen met het modem dat wij destijds hadden, verder nog nooit wisselingen gehad.
Ons IP-adres staat hier gewoon vast. Zolang wij Ziggo hebben al.
Hier heb ik ook een dynamisch IP-adres, alleen het IP-adres is in 7 jaar maar 1x veranderd, en dat kwam door problemen met het modem dat wij destijds hadden, verder nog nooit wisselingen gehad.
Ons IP-adres staat hier gewoon vast. Zolang wij Ziggo hebben al.
Ziggo levert alleen dynamische volgensmij. Zo zijn ze je niet verplicht een zelfde ip te geven en kan dat eventueel geen problemen opleveren. Maar dit wil niet zeggen dat deze ook daadwerkelijk veranderd. Vaak als je een static ip hebt word je hierover ingelicht per brief o.i.d.. (Bijv. Standaard bij XS4ALL en bij OnsBrabantNet kan je het eenmalig los kopen)
Jouw reactie
Deel je idee, stel een vraag of help een ander verder.
