SESSIONS, wat wel en wat niet?
Ozzie PHP op 13/10/2011 11:45:44:
Inderdaad. Er wordt door ontwikkelaars vaak heel veel te veel waarde toegekend en gewerkt met ip-adressen. Het bedrijf waar ik werk bouwt (web)applicaties (geen PHP) en wanneer veiligheid aan de orde is wordt met https gewerkt of via vpn wanneer zwaardere veiligheid vereist is. We werken nooit met ip-adressen van de gebruikers op intranet/internet.Hmmm oké, nou.. in ieder geval goed om te weten. Dan moet ik in de toekomst dus niet een ip-adres blocken als het tijdens één sessie wisselt!
- SanThe - op 13/10/2011 10:49:00:
Toch niet als je actief bezig bent lijkt mij. Maar waarschijnlijk na een (korte) periode van rust/non actief.
Michael - op 13/10/2011 10:30:35:
Ozzie, ik wordt er dan tijdens de sessie uitgegooid. Dus zonder de browser te sluiten of de website te verlaten.
Toch niet als je actief bezig bent lijkt mij. Maar waarschijnlijk na een (korte) periode van rust/non actief.
Ozzie PHP op 13/10/2011 11:13:38:
Kun je de vraag van SanThe benatwoorden Michael?
(SanThe, jij vermoedt dat de sessie dan is verlopen? Bijv. na 20 minuten?)
(SanThe, jij vermoedt dat de sessie dan is verlopen? Bijv. na 20 minuten?)
Ligt eraan wat jij 'actief bezig' noemt. Als de site is geladen dan is ie daarna niet actief meer bezig. Wijzig ik dan wat in mijn cms, de tijd die ik aan 't typen ben ik die dus niet actief, en klik ik opslaan dan krijg ik soms de melding dat ik niet meer ben ingelogd, en als ik 't ip adres op zoek is die verandert.
Wat ik ook fijn vind, is het opslaan van het IP-adres tijdens het inloggen in een sessie en deze iedere keer controleren. Zo voorkom je session hijacking :-)
Roel van de Water op 13/10/2011 18:27:10:
Jij slaat dan het ip-adress van bijvoorbeeld een school of bedrijf op en dan kan het hele bedrijf of school sessie hijacken en jij maar denken dat je session hijacking voorkomt. Ik werk bij een bedrijf met >8000 werkstations en we gaan op 1 ip adres naar buiten! en jij maar denken dat je session hijacking voorkomt.Ik gebruik zelf ook meerdere dingen, wel in combinatie met een database dan.
Wat ik ook fijn vind, is het opslaan van het IP-adres tijdens het inloggen in een sessie en deze iedere keer controleren. Zo voorkom je session hijacking :-)
Wat ik ook fijn vind, is het opslaan van het IP-adres tijdens het inloggen in een sessie en deze iedere keer controleren. Zo voorkom je session hijacking :-)
Gewijzigd op 13/10/2011 20:03:07 door PHP Scripter