Login-Sicherheit (Sessions vs. Cookies)

[Tom]

Hello,

Dir scheinen die Begriffe "requestbasiert" und "sessionbasiert" Probleme zu bereiten. Die haben hier nichts damit zu tun, dass man für beide Verfahren eine Session als Basis benötigt.

Ja, ich störe mich an den Begriffen, weil sie untauglich und verwirrend sind.

Ein Login ist üblicherweise sessionbasiert. Beim Login wird eine Session gestartet.

Du bringst die Begriffe und ihre Abhängigkeiten durcheinander.
Wie ist es denn beim HTTP-Basic-Auth?
Das ist ein "Login". Aber wird da eine Session gestartet?

NEIN!

Dort wird temporär Zugang gewährt.

Ich will dir nochmal sie Chance geben, wirklich basisorientiert über die Zusammenhänge nachzudenken, bevor ich hier eine "Session" draus mache.

Und bedenke dabei bitte auch, dass HTTP verbindungslos und damit zustandslos definiert ist. Alle Begriffe, die wir hier im Bezug auf Networking benutzen, sind daher ohnehin nur als Pseudonyme zu betrachten, also eigentlich erstmal auf ihre Grundformen zurückzuführen.

Wenn wir heute also unter HTTP von einer Session sprechen, ist das ohnehin eine Krücke. Denn die Session unter HTTP ist lediglich emuliert.

Wenn wir generell von "sessionbasiert" sprechen, dann bedeutet das, dass alle Bezugsgrößen sich auf den Zeitrahmen der Session beziehen, also vom Beginn bis zum Ende der Session gelten.

Wenn wir von "requestbasiert" sprechen, dann bedeutet das, dass alle Bezugsgrößen pro Request neu bestimmt werden, also nicht für die Dauer einer "Session" gelten.

Man kann nun auch Mischformen erzeugen. Ein "requestbasiertes" Login kann durchaus zur Vereinfachung auf einer Session basieren.

Es kann aber auch ohne jegliche "Session" realisiert werden. Dann müssten die Credentials (also mindestens zwei Schlüssel) jedes Mal neu und gemeinsam übertragen werden.

Ich beweifele hier jetzt mal ganz provokativ, dass Du sich überhaupt mit (meinen|den) Gewdanken zum Thema auseinandersetzen willst. Sonst würdest Du gezielt Fragen zu bestimmten Gedankenschritten stellen und nicht rigoros behaupten, das das alles "untauglich" ist.

Lies dich bitte einwenig besser ein in die Geschichte des Networking (EDV, IT,), bevor Du mir hier Generalschelte verpasst.

Und das meine ich durchaus freundschaftlich!

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg