Newsgroup: it.comp.www.php
Titolo: info su sessioni

Mi sto studiando le sessioni e, fino ad ora, mi sembra una cosa 
piuttosto banale.
Ho comunque qualche dubbio che i vari tutorial che mi sono letto non mi 
hanno chiarito e vorrei pertanto chiedere qui se qualcuno conosce la 
risposta.
Se ho capito bene ogni volta che registro una nuova sessione sul 
computer dell'utente viene mandato un cookie di nome fisso 
"PHPqualcosa". Ma cosa succede se io ho aperto due siti web (diversi) 
contemporaneamente che mi mandano lo stesso cookie? Interferirebbero 
l'uno con l'altro? Se si, c'è un modo per cambiare il nome di tale 
file/cookie?
Secondo, se i cookie non sono attivi l'unico modo è trasferirsi 
l'informazione di sessione tramite GET/POST. Siccome io non ho 
intenzione di fare tutto questo lavoro (anche perché ritengo sia 
rischioso mostrare queste info nella barra degli indirizzi che può 
facilmente essere copiata e, per esempio, spedita ad un amico in chat o 
peggio su un NG ai danni dell'utente) c'è un modo per "identificare" 
questa situazione e avvertire l'utente che il "log-in" non è possibile 
senza cookie attivi?
Grazie,
   Luca
-- 
Linux registered user #291568 (
http://counter.li.org/
)
Electronic Frontier Foundation Member (
http://www.eff.org/
)
Mandrake Club Member (
http://www.mandrakeclub.com/
)

 
Ciao.
  -Ema-

 teorico non c'e' nessuna differenza a livello di sicurezza. 
Non è questo il problema di sicurezza che intravedo.
Pensa a questo scenario.
L'utente X entra sul sito della propria banca con i cookies 
disabilitati. Il programma fa quindi uso di SID su GET.
Questo quindi compare nella barra degli indirizzi.
A questo punto, per qualche ragione che a noi può sembrare folle ma che 
l'utente non vede come un rischio, tale utente copia l'indirizzo e lo 
spedisce ad un amico con cui sta parlando in chat.
Tale amico clicca sul link speditogli da X e "puffete" si trova loggato 
sul server della banca a nome dell'utente X.
Non so come lo chiami tu... ma io lo definisco un serio problema di 
sicurezza ;)
Poi ovviamente io ignoro se PHP in qualche modo si accorga di questo 
trucco (magari perché gli IP sono diversi... ma allora cosa succede se 
gli utenti hanno lo stesso IP condiviso?).
Ciao,


Luca T. wrote:
[CUT]
Dimenticavo... grazie per le info. Rimane ancora aperta la seconda 
domanda... ossia... come faccio a sapere che i cookies sono disabilitati 
e quindi avvertire l'utente di questo problema?


 
In PHP dovresti tentare di impostare un cookie e quindi rileggerlo, non 
so se ci sono sistemi piu' rapidi. Io lo farei in javascript con 
qualcosa del tipo:
if (!window.navigator.cookieEnabled) {
    document.write("Attenzione!...);
}
Per quanto riguarda il problema di sicurezza, soprattutto se e' un 
sistema bancario, dovresti usare una connessione ssl. Diversamente sei 
sempre a rischio.
Ciao.
  -Ema-

}
Attenzione perché su Explorer si può impostare di accettare i cookie
di sessione ma di rifiutare i cookie normali, in questo caso il
javascript o l'altro metodo che hai detto in php se ne accorgerebbero?
Saluti
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC è possibile!
Software libero, PHP, MySQL, Webdesign, Sicurezza, CMS, Tutorials
Per rispondere in e-mail togli NOSPAM 

 javascript o l'altro metodo che hai detto in php se ne accorgerebbero?
Perdona l'ignoranza. Ma che differenza c'e' tra i cookie di sessione e 
gli altri? In base a quale criterio Explorer fa questa distinzione?
Ciao.
  -Ema-

 In base a quale criterio Explorer fa questa distinzione?
Non lo so perché, ma la fa! Vai in opzioni - privacy - avanzate, si
possono bloccare i cookie normali ma consentire quelli di sessione;
con Netscape/Mozilla non mi sembra che si possa fare.


 Saluti
Sembra che si possa, vai in "Edit - Preferences", scegli "Privacy & 
Security - Cookies" poi scegli "Enable cookies based on privacy 
settings" e poi scegli "custom"... lě puoi abilitare (per ogni opzione) 
"session"... non so se questo significhi "accetta solo i cookie di 
sessione" oppure "accetta i cookie solo per la sessione corrente (fino a 
chiusura browser) e poi distruggili".


 
Ho trovato qui':
http://wp.netscape.com/newsref/std/cookie_spec.html
Se non si imposta l'expires il cookie viene buttato alla fine della 
sessione e quindi e' temporaneo.
Ciao.
  -Ema-