[PHP] beveiligde login met sessions in de db

[_eXistenZ_]

Op het moment ben ik bezig met een veilige niet af te luisteren login, waarmee je net als op GoT een overzicht kan krijgen van je sessies, en deze ook kan terminaten vanaf 1 locatie.

Het idee is als volgt:

Bij login checken of de cookies 'sessionid' en 'hash' bestaan.
Zo ja, validaten in de sessions tabel, waarbij hash een md5 is van je remote_addr en password achter elkaar geplakt. --> bij succes ben je bent ingelogd.

Zo nee, uiteraard de cookies killen.

Zo komt die check er ongeveer uit te zien:

PHP:

    function check() {
        if (isset($_COOKIE['sessionid']) AND isset($_COOKIE['hash']) {
            if ($row =$db->query_first("SELECT password, remoteaddr 
                                                FROM sessions
                                                WHERE sessionid = '$sessionid'")) {
                $hash = md5($row['password'] . $row['remoteaddr']               
                if ($hash == $_COOKIE['hash'] {
                        return true;
                }
            }
        }

Nu weet ik alleen niet goed, als ik een remote_addr in de sessions tabel heb, er zit een remote_addr verweven in de hash, en ik heb in php een remote_addr, welke ik met elkaar moet vergelijken

[Janoz]

Het toevoegen van die hash heeft weinig nut. Sowieso zou ik die niet baseren op bestaande gegevens. Als je graag die hash toe wilt voegen, baseer deze dan op een random nummer en sla deze in de db op.

Het remote adres zou ik gewoon alleen in de session tabel zetten. Eventueel kun je deze null laten voor het geval de gebruiker zijn sessie niet aan IP wil verbinden (een laptop die op verschillende plaatsen aan het netwerk gaat bijvoorbeeld)

[ Voor 25% gewijzigd door Janoz op 29-08-2007 15:24 ]

[Rfce]

Dat laatste snap ik niet helemaal... je hebt een hash van ip+password in de tabel staan. Als je user weer opnieuw op de site inloged, check je toch die hash wat in de tabel staat met de nieuwe hash van je cookie (van ingevoerde pass en ip)?
Daarnaast wat gebeurt er met users die een dynamisch ip hebben?

[silentsnake]

Wel eens waar Perl en geen PHP, maar voor een voorbeeldje lijkt me dit toch ook wel prima.

Zoals je hieronder ziet genereer ik een md5 hash van een random gegenereerde combinatie van hoofdletters, kleine letters en cijfers. Dat gebruik ik as session id in de cookie, en vervolgens sla ik dat ook nog op in de database (wat hier niet staat). Nummber valt niet te reproduceren aangezien het niet gebaseerd is op bestaande gegevens.

En ja, ik zet altijd commentaar in het Engels in me code

Perl:

#!/usr/bin/perl 

use String::Random;
use Digest::MD5;
use CGI;
use strict;

my $cgi = new CGI;

# Random pattern is being generated here for the MD5 session id.
# C = capital letter, c = normal letter, n = number.
my $random = new String::Random;
my $new_sid = md5_hex($random->randpattern("CCcnCcCnn"));

my $cookie = $cgi->cookie( 
                    -name  => "sid",
                    -expires => "+60m",
                    -path     => "/usr/local/www",
                    -value   => "$new_sid" 
);

print $cgi->header ( -cookie => $cookie );

offtopic:
Waarom heeft Perl geen color highlighting?

[ Voor 11% gewijzigd door silentsnake op 29-08-2007 16:13 . Reden: CGI handler vergeten toe te voegen e.d. ]

[_eXistenZ_]

Op het moment heb ik het zo opgelost:

PHP:

    function check() {
        $loggedin = false;
        if (isset($_COOKIE['sessionid']) {
            if ($row =$db->query_first("SELECT link_addr, remote_addr  
                                                FROM sessions
                                                WHERE sessionid = '$sessionid'")) {
                if ($row['link_addr'] == 0 || $row['remote_addr'] == $_SERVER['remote_addr'] {
                        $loggedin = true;
                }
            }
        return $loggedin;
        }

Als mensen link_addr op 0 hebben staan negert het script het adres dus

[Niemand_Anders]

Hou er rekening mee dat een remote ip niet een unieke bezoeker hoeft aan te duiden. Bedrijven gebruiken gateways alle alle werknemers gaan via hetzelfde IP naar buiten. Aan de andere kant is een IP adres ook niet statisch. Via een DHCP recycle is het mogelijk dat je 'ineens' een ander IP adres gebruikt.

Het beste kun je random generated hash gebruiken. Een andere betere mogelijkheiden om gebruikers te herkennen is het gebruik van server/client ssl certificaten.