Cookie Zeit + Sicherheits Fragen

[Andavos]

Hallo,
wenn man so einen Cookie setzt, wielange lebt er dann?
setcookie ("Cookie", "Test");

Evt. nur solange, wie der Browser offen ist?
Wenn ja, kann man Cookies auch lebenslänglich speichern lassen?

Sicherheit:
Ich programiere gerade ein Forum, und möchte den Login mit Cookies + Session machen.
Wenn sich der User einlogt, wird ein Cookie (mit seinem Username) gespeichert.
Wenn er wieder kommt, und es den Cookie noch gibt, dann wird der Inhalt des Cookies gelesen. Er ist dann als der eingelogt (per Session), dessen Username im Cookie steht.

Deswegen meine Frage:
Ist das sicher? Könnte eine fremde Person sich nicht dann selbst einen Cookie "schreiben", in dem ein fremder Username steht?
Wenn er dann mit dem gefälschten Cookie auf die Seite geht, würde er als eine andere Person eingelogt werden.

MFG
Andavos

[wahsaga]

hi,

wenn man so einen Cookie setzt, wielange lebt er dann?
setcookie ("Cookie", "Test");

Evt. nur solange, wie der Browser offen ist?

ja, cookies ohne zeitangabe werden vom browser nach der surf-session wieder verworfen.

Wenn ja, kann man Cookies auch lebenslänglich speichern lassen?

denk drüber nach, und merke bitte selbst, dass das grober unsinn ist!
wenn ich eine seite, die mir ein cookie setzt, nach einem, drei oder sechs monaten noch immer kein zweites mal besucht habe - wie gross ist dann die wahrscheinlichkeit, dass ich überhaupt je wiederkomme? trotzdem hast du mir die platte mit einem weiteren, unnützen cookie zugesch***en ...

Sicherheit:
Ich programiere gerade ein Forum, und möchte den Login mit Cookies + Session machen.
Wenn sich der User einlogt, wird ein Cookie (mit seinem Username) gespeichert.
Wenn er wieder kommt, und es den Cookie noch gibt, dann wird der Inhalt des Cookies gelesen. Er ist dann als der eingelogt (per Session), dessen Username im Cookie steht.

Deswegen meine Frage:
Ist das sicher?

nein, grösster humbug!

Könnte eine fremde Person sich nicht dann selbst einen Cookie "schreiben", in dem ein fremder Username steht?
Wenn er dann mit dem gefälschten Cookie auf die Seite geht, würde er als eine andere Person eingelogt werden.

na zum glück hast du das doch noch gemerkt :-)

gruss,
wahsaga

[Andavos]

Hallo,
also wäre die Methode unsicher?
Wie könnte man es denn lösen?
evt. den md5 Code vom Passwort mit in den Cookie packen und dann auf der Seite das ganze vergleichen?

MFG
Andavos

[wahsaga]

hi,

evt. den md5 Code vom Passwort mit in den Cookie packen und dann auf der Seite das ganze vergleichen?

das wäre schon ein bisschen besser.
gegen einfaches kopieren des cookies, wenn ich mal kurzzeitig auf den fremden rechner zugriff habe, hilft das aber auch noch nix ...

gruss,
wahsaga

[Andavos]

Hallo,
kann man das denn dann überhaupt lösen?
Denn egal wie ich auf dem Rechner einen Cookie speicher, wenn der andere Zugriff auf den rechner hat und diesen kopiert, so ist es doch vorbei (der ander logt sich bei der rückker ein), oder etwa nicht?

MFG
Andavos

[wahsaga]

hi,

kann man das denn dann überhaupt lösen?
Denn egal wie ich auf dem Rechner einen Cookie speicher, wenn der andere Zugriff auf den rechner hat und diesen kopiert, so ist es doch vorbei (der ander logt sich bei der rückker ein), oder etwa nicht?

löse dieses problem, in dem du eben keinen _dauerhaften_ login verwendest.

schau dir z.b. mal das session-konzept von php an. diese sessions verfallen standardmäßig nach einer kurzen zeitspanne der inaktivität seitens des benutzers - aus gutem grund ...

gruss,
wahsaga

[Andavos]

Hallo,
ja ich weiß.
Ich bin mir über das Risiko auch bewusst.

Aber:
1. Alle Foren Systeme mit PHP bieten solche "Dauer-Logins an"
2. Wenn der User auf die Seite wieder geht, möchte er sofort eingelogt sein.
3. Über die Cookies kann man dann nur unter dem Username neue Themen, neue Antworten schreiben, sowie Themen schließen/löschen.
4. Im Profil kann man das Cookie setzten verhindern.

Die wirklich Wichtigen Funktionen erreicht man so nicht ;)

MFG
Andavos

[Andy]

Warum muss ein Forum eigentlich _100%ig_ sicher sein?

Wenn jemand sch*** in deinem Namen schreibt, dann fragt man halt einen Mod, der das wieder löscht.

[Andavos]

Hallo,

natürlich ist das schlecht, wenn er sich unter dem Account eines Mods/Admins Themen löscht

MFG
Andavos