SSL Login en dan http

[robjanssen]

Ik heb voor een website de Login onder SSL gehangen.
Maar na de login moet er weer terug gegaan worden naar http, dus zonder SSL.
Maar hoe controleer ik dan of iemand wel goed is ingelogd onder SSL.
Mijn Sessie-variabelen ben ik kwijt dan.

Weet iemand een goede en veilige oplossing?

[Skinkie]

waarom ben je je sessie variabelen kwijt?

http login
name, passwd, sessionid, posten naar https logincheck
sessionid als geauthenticeerd zetten
header terugsturen naar andere pagina

of kan het bovenstaande niet goed werken?

[robjanssen]

sessionid als geauthenticeerd zetten
header terugsturen naar andere pagina

Hoe doe je dit dan precies?

Mijn login is trouwens op https, daar begin ik dus en daarns ga ik naar http

[Skinkie]

ik deed eigenlijk een wilde schop in de lucht

wat ik heb gedaan is een sessie gestart en daarin een auth var meegenomen die gelijk is aan het remote_addr, wanneer auth geset is betekend dit dus dat er ingelogd is en vervolgens controleer ik nog even of diegene die ingelogd heeft ook van dat ip adres afkwam.

Maar uh... waarom zou je een sessie kwijt raken dat verhaal begrijp ik ff niet...

* Skinkie php-newbie die soms wat advanced dingen doet

[robjanssen]

Nou mijn login-pagina staat op https://secure.bladibla.nl
Na een goede login doe ik Session("LoggedIn") = true
Daarna redirect ik naar http://www.bladibla.nl
Maar dan is Session("LoggedIn") leeg.

[Skinkie]

je moet wel het session verhaal ff goed doorlezen hoor want je moet elke keer voordat je iets verzonden hebt start_session doen...
(ik bedoel bij het begin van een nieuwe pagina)

http://www.php.net/manual/en/function.session-start.php

session_start() creates a session (or resumes the current one based on the session id being passed via a GET variable or a cookie).

[robjanssen]

Ik programmeer met ASP niet met PHP.
En ik heb ook wel verstand van Sessies.

Maar op het moment dat ik van httpS naar http ga, dan ben ik mijn Sessie-variabelen kwijt.

[PowerSp00n]

Op zaterdag 29 juni 2002 17:14 schreef robjanssen het volgende:
Ik programmeer met ASP niet met PHP.
En ik heb ook wel verstand van Sessies.

Maar op het moment dat ik van httpS naar http ga, dan ben ik mijn Sessie-variabelen kwijt.

Misschien was het wel handig om dit gelijk even te vermelden . Ik heb verder niet veel verstant van ASP maar is het niet mogelijk om je session id weer mee te geven naar http://?.

[robjanssen]

Dan heeft toch geen zin?
Als ik van httpS naar http ga dan krijg ik een nieuw SessionID.
Wat moet ik dan met mijn oude?

[PowerSp00n]

Op zaterdag 29 juni 2002 17:29 schreef robjanssen het volgende:
Dan heeft toch geen zin?
Als ik van httpS naar http ga dan krijg ik een nieuw SessionID.
Wat moet ik dan met mijn oude?

Ehh? Je gegevens ophalen?

[robjanssen]

Hoe kan ik dan met het oude SessionID de gegevens weer ophalen?

[PowerSp00n]

Op zondag 30 juni 2002 15:36 schreef robjanssen het volgende:
Hoe kan ik dan met het oude SessionID de gegevens weer ophalen?

Ik heb verder niet veel verstant van ASP ....

Session starten met het id en lekker verder gaan?

[Vigory]

Waarom wil je zo graag terug naar http? Je kan toch gewoon alles secure laten lopen?

[Rense Klinkenberg]

Op zondag 30 juni 2002 15:54 schreef Vigory het volgende:
Waarom wil je zo graag terug naar http? Je kan toch gewoon alles secure laten lopen?

Snelheid waarschijnlijk. HTTPS is een stuk langzamer dan http, zeker als de server het ook al druk heeft.

[robjanssen]

Voor de snelheid inderdaad ja.

Maar heeft er ook iemand een goede oplossing voor mijn probleem?

[robjanssen]

Bij Yahoo doen ze het trouwens ook.

Daar kun je kiezen voor een secure login en daarna wordt er weer terug gegaan naar gewoon http.

Iemand een idee hoe ze dat daar doen dan?

[mocean]

Je zou onder HTTPS een cookie kunnen setten die je dan onder HTTP controleert of zo...

[robjanssen]

Dat zou inderdaad kunnen ja.

Maar wat dan als iemand cookies uit heef staan?

[Skinkie]

dat lost php automagisch op... intern... misschien asp ook wel.

[ACM]

Waarsch komt het doordat de ene hostname secure.* is en de andere www.*.

De sessieid-cookie wordt dan niet meer meegestuurd, als je op een of andere manier dat kan veranderen (de host waar de sessie-cookie voor geldt) zou het al opgelost kunnen zijn