PHP sessions

[jawat]

Hallo,

Ik heb al even op internet rondgekeken, maar ik heb zo geen duidelijk antwoord gevonden. Kan iemand mij vertellen hoe veilig PHP sessions zijn? Ik gebruik sessions bij het inloggen in mijn CMS. Ik denk dat het redelijk veilig is, maar heb een aantal vragen..

- Hoe gemakkelijk zijn sessions voor derden te bekijken?
- Moeten de gegevens in sessions altijd versleuteld worden (SHA1 / MD5)?
- Worden sessions automatisch verwijderd wanneer de browser afgesloten wordt (clientside + serverside)?

Ik ben benieuwd..

Mvg,

Jawat

[systemdeveloper]

sessie gegevens zijn over het algemeen redelijk veilig zolang j directory waar ze worden opgeslagen die door iedereen te bekijken is. (Beter kun je de sessis in de db bijhouden).
Een sessie gaat meestal (in)direct vergezeld met een sessioncookie (met een negatieve expiratie datum). Hierin moet gewoon niet meer staan dan het sessie id.
Waar je wel mee moet opletten is dat het sessie id niet in andere handen kan vallen. (via een url met embedded sessie id of via eenvoudige xss exploits). Als dat gebeurd kun je zonder problemen de sessie van andere gebruikers overnemen en dat is meestal niet de bedoeling.

Heb je niet de mogelijkheid om je sessie in je eigen db op te slaan of om het sessiepath afdoende te beveiligen dan is een encryptie van je sessie gegevens wel zo netjes.

Na het sluiten van de browser worden de sessioncookies aan de clientkant verwijderd, tijdens de cleanup ook aan de serverkant na een bepaalde tijd.