Newsgroup: it.comp.www.php
Titolo: Login e autorizzazioni

Secondo voi  per delimitare l'accesso di alcune pagine 
a determinati user e' meglio utilizzare i cookie o le variabili session?
TIA
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

a determinati user e' meglio utilizzare i cookie o le variabili session?
Sessioni, oppure .htaccess
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC è possibile!
Software libero, PHP, MySQL, Webdesign, Sicurezza, CMS, Tutorials
Per rispondere in e-mail togli NOSPAM 

 ha scritto nel messaggio
news:bvvn0v$tu2$1...@news.newsland.it...


 Sessioni, oppure .htaccess
 
ecco lo sapevo :-(
perche' i cookie non sono sicuri? o e' un problema di prestazioni?


 io mi porterei solo l'id dell'utente in un cookie 
Se lo fai in un cookie apri un buco di sicurezza grande quanto il
grattacielo Pirelli.
Nelle session è meglio.
Ciao
-- 
Se cerchi consulenza su Linux, PHP, MySQL e tutto quello che riguarda il mondo OpenSource,
chiedi a ZioBudda Labs un preventivo. Celerità e professionalità sono solamente due
dei punti chiave di ZioBudda Labs.
Per maggiori informazioni: 
in...@ziobudda.net

perche' i cookie non sono sicuri? o e' un problema di prestazioni?
Perché i cookie sono memorizzati sul pc client, le variabili di
sessione sul server; metti che tu memorizzi nel cookie l'id utente,
l'utente apre il cookie e ci scrive dentro un altro id, cosě riesce a
vedere la roba degli altri. E' chiaro?
Ciao
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC č possibile!


 Ciao
Allora nel cookie vengono memorizzate ID e password 
se le password sono diverse per ogni id,un generico 
utente non puo' collegarsi 'a nome di un altro' se non conosce la
password dell'altro......o no?


 password dell'altro......o no?
Un cookie viene memorizzato sulla macchina come un file di testo.
Non ci vuole niente ad aprirlo e leggere i dati.
Ciao
Marco

 Ciao
quindi anche te asserisci che con i cookie non c'e' sicurezza
anche se uso la password... lo script vauthenticate allora
credi non sia molto sicuro?
mi sembrava fatto bene ....a parte l'uso smodato dei cookies


 altro' se non conosce la password dell'altro......o no?
Il tuo ragionamento fila, ma carichi e rallenti lo script per ogni pagina
visitata perche' devi effetturare sempre una SELECT su LOGIN+PASSWORD,
controllare che esista l'accoppiata e controllare che l'id risultate abbia
i permessi per visualizzare la pagina. Direi un po' tanto. 
Ciao.


password dell'altro......o no?
Ma scusa...in ogni pagina tu fai una query al db con id e password
memorizzati nel cookie per vedere se l'utente è autorizzato? Mi sembra
molto poco efficiente...ma perché non vuoi usare le sessioni?
Definisci una variabile di sessione che setti su "ok" dopo che
l'utente ha fatto il login, ed in ogni pagina controlli che questa
variabile sia su "ok", è molto più semplice ed efficiente, oltre che
sicuro. 
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC è possibile!


 i permessi per visualizzare la pagina. Direi un po' tanto. 
 
quindi anche te asserisci che la cosa migliore sia 
loggarsi , settare una variabile session a true
e ogni inizio pagina protetta testare se la variabile session
e' a posto


Scusa, ma a me non é chiara una cosa forse puoi aiutarmi.
E' possibile che le sessioni non funzionino se disabiliti i cookie del
browser?
Neanche a me é tutto molto chiaro... io credevo che la differenza fosse nel
fatto che chiudendo il browser le sessioni si cancellavano mentre i cookie
rimanevano. Quindi credevo che le sessioni fossero pc client.
Se non é cosě, mi chiedo, come fa il server a far riferimento a quale client
si riferisce una sessione?
Grazie per ora.
    Mark


si riferisce una sessione?
Tramite l'id memorizzato nel cookie.
Ciao
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC è possibile!


 ha scritto nel messaggio
news:0pJUb.26748$VS6....@tornado.fastwebnet.it...


$_GET ... d'altronde con i dati in chiaro nulla è sicuro
E' ben diverso poter leggere l'id di sessione e l'id utente...vedi
altro mio post.


 passo con $_GET ... d'altronde con i dati in chiaro nulla Ã Âš sicuro
Ed una volta che hai il session_ID ??? Non Ãš un semplice numero, ma una
stringa di caratteri. 
Ciao.
-- 
Se cerchi consulenza su Linux, PHP, MySQL e tutto quello che riguarda il mondo OpenSource,
chiedi a ZioBudda Labs un preventivo. CeleritÃ  e professionalitÃ  sono solamente due


 browser?
No, funzionano lo stesso, basta configurare bene php, se puo' usa i 
cookies, se no utilizza get e/o post per propagare il session_id
ciao
Mauro

Perfetto, credo allora di aver capito in gran parte il concetto.
Io ho sviluppato uno script partendo da un algoritmo che hanno discusso sul
forum di 
html.it
.
Il concetto é quello di salvarsi tutte le opzioni di sessione su database e
l'id di sessione (generato random) salvato in un cookie con un basso tempo
di espirazione. (il discorso é un pochino più articolato)
In questo modo non dovrebbero esserci problemi di sicurezza (si spera)
perché i permessi di accesso al db (parlando di piattaforme linux-mysql
naturalmente) sono impossibili a esterni ma solo tramite lo script. Il
cookie é solo una sequenza di numeri e lettere, e nel caso qualcuno ne
faccia uso da altro pc, lo script confronta l'ip dell'utente e volendo altre
info (browser..) specifiche dell'utente che ha fatto l'accesso.
Più o meno é il concetto delle sessioni da voi spiegato. Forse però
riespetto al cookie di sessione tengo solo una variabile invece di più
informazioni. Possibile?
Scusate se approfondisco questa cosa ma di sicurezza non si finisce mai di
parlare!
Grazie ciao
        Mark



Per configurare bene php intendi dire utilizzare get e post per passarmi la
variabile oppure c'é un sistema alternativo?
Perché come Francesco Mazzi mi faceva notare le sessioni sono cookie in
memoria volatile... quindi non vorrei fare confusione nel concetto.
Grazie ciao
    Mark

Io uso cookie. Chi non accetta cookie provenienti dal mio sito, ciccia :-)
Nel cookie registro un'array che contiene username, lo hash md5 di username
e altre cose. L'array la passo attraverso base64_encode, per dargli una
offuscatina veloce :-), e poi la serializzo.
Il fatto che il cookie esista e che passi il controllo dello hash mi basta
per autorizzarlo.
Per passare "illecitamente" il controllo, si deve "intercettare" il cookie.
Quindi bisogna capire che il cookie è codificato con base64. Però non c'è la
password nel cookie...
In aggiunta, nel cookie metto il timestamp dell'ultimo accesso. Dopo 20
minuti, il programma chiede nuovamente username e password.
Diciamo che non è certo a prova di bomba (si dovrebbe far transitare il
cookie su SSL), ma non sono eccessivamente allarmato.
Francamente non riesco ancora a capire il gran vantaggio delle session (a
parte la comodità di funzionare anche senza cookie): le informazioni
restano sul server, ok, ma sono sempre accessibili agli altri utenti del
server.
Se sto prendendo una cantonata bestiale, vi prego ditemelo.
Saluti,
Lorenzo.


A molti di coloro che hanno partecipato a questo thread consiglio vivamente
di leggere la seguente guida alle sessioni in PHP trovata con una veloce
ricerca su google.
http://www.siforge.org/articles/2003/11/10-guida_sessioni_php.html
-Ema-