[ x capire ] sessioni e https

[pasqui11]

Ciao,
scusate ma sono nuovo di questi argomenti, devo creare una sezione (sotto login) che giri in php con https;


ovviamente pensavo di registrare una variabile $_SESSION una volta loggati, però mi sono letto che nell'https si deve passare il PHPSESSID via url in quanto non viene salvato in un cookie...

ok, facciamo caso che una volta loggato l'utente vada alla pagina :

prova.php?PHPSESSID=1234


ora però, se aprissi da un altro pc la pagina:


prova.php?PHPSESSID=1234

vedrei tutti i dati dell'utente che si è loggato di là, giusto ?



Leggendo un pò su questo problema ho visto che la soluzione ( http://php.html.it/guide/lezione/300...sion-fixation/ ) al problema stà nell usare
session_regenerate() per cambiare ad ogni pagina quell' 1234 in 5678 (ad esempio)


però è questo che non capisco, come fa il problema a risolversi ? mettiamo che adesso la nuova chiave è :

prova.php?PHPSESSID=5678

se adesso apro nuovamente da un altro pc il link

prova.php?PHPSESSID=5678


vedo nuovamente i dati dell'utente loggato, no ?


Lo sò che è una menata, ma come faccio ad impedire che accada una cosa del genere ? ovvero che il link con la chiave funzioni solo e solo con quella sessione aperta lì ? (quindi solo su quel browser/pc)


Scusate se sono incomprensibile

[filippo.toso]

Per evitare il problema, implementa dei controlli lato server come IP del client, user agent, etc.

[pasqui11]

hmm si, cosi dovrei risolvere....


ecco, ma è questo il modo giusto di procedere ?

qualè il metodo piu sicuro/efficace per gestire le sessioni con un https ?

[neroux]

Originariamente inviato da pasqui11
ovviamente pensavo di registrare una variabile $_SESSION una volta loggati, però mi sono letto che nell'https si deve passare il PHPSESSID via url in quanto non viene salvato in un cookie...

Dove l'hai letto? Le sessioni funzionano anche con HTTPS.

[pasqui11]

uhm, quindi posso continuare a salvare le PHPSESSID nei cookie anche in https ?

ma sono abbastanza sicuri ? avete qualche lettura da consigliarmi sulle buone abitudini da prendere lavorando in un HTTPS con dati sensibili ?

[neroux]

in che senso sicuri?

tutto su https viene criptato se tu sia preoccupato per il session hijacking potresti fare come filippo ha suggerito e verificare il client ip, però devi sapere che ti possa creare problemi con utenti dietro un proxy cluster con più ip.