her ihtimale karşı session'da kullanıcı id ile birlikte şifrenin md5 şeklini tutman daha mantıklı olur hocam güvenlik açısından.

MD5'i unutun. Kullanılması nerilmeyen hash algoritması. Benzersizliğinden emin olamazsınız. https://crypto.stackexchange.com/questions/1434/are-there-two-known-strings-which-have-the-same-md5-hash-value https://stackoverflow.com/questions/1756004/can-two-different-strings-generate-the-same-md5-hash-code Session olayı biraz daha farklı grünenden. Şunlara dikkat etmek gerekir: Session fixation güvenlik açığına neden olur: https://www.owasp.org/index. php/Session_fixation Her istekte session_id'yi değiştirmelisiniz. SSL kullanmadan yapılan her login girişimi "kullanıcı adı ve şifre şifresiz olarak sunucuya iletileceğinden" potansiyel güvenlik açığı oluşturur. SSL kullanın. Session üzerindeki her işlem, sunucunun I/O performansına bağlıdır ve fazla sayıda dosya işlem çağrısı gerektirir. Her şeyi session'a bağlamayın. Ayrıca: Cookie'de fazla bir şey tutmayın. Cookieler kullanıcı tarafındadır, her istek ve cevapta http'nin başlık kısmında yollanır. Sizin sunucu bunu parçalar, değişiklik yapar, tekrar paketleyip yollar vs. https://paragonie.com/blog/2015/04/secure-authentication-php-with-long-term-persistence Olaylara karışmayın!

Session sunucu tarafında tutulduğu için insanların müdahale etme şansı yok hocam. En iyisi olmadan nce, her zaman en ktüsü olmaz mı?

Beni hatırla olayında cookiede kullanıcı adını ve şifrenin MD5'li halini tutman yeterli. Daha sonra kullanıcı siteye girdiğinde cookiede kullanıcı adı ve şifre varsa tüm kodların başlangıcında login yaptırabilirsin. Tokenle vs uğraşmana gerek yok. \ /

kofcu bunu yazdı cache bunu yazdı Session sunucu tarafında tutulduğu için insanların müdahale etme şansı yok hocam. oh. aradığım cevap :) teşekkürler hocam o zaman hiç password falan gerek yok anladım. diyordum ki şyle bir kontrasorum var: cookie'ye de session bilgilerini koyuyorum aynı username-user id. giriş yapılıp yapılmadığını kontrol eden sistem cookie doluysa eğer session'a cookie'de yazılan değerleri atıyor ve üye girişi yapmışım gibi devam ediyor. bunda bir açık var mıdır? yoksa cookie için zel olarak cookie'de password saklamam mı gerekir? Hocam bu yaptigin riskli. Cookie client tarafinda, yani ben senin bilgisayarindan cookie'yi alirsam kendi bilgisayarimda senin hesabina giris yapabilirim. http://stackoverflow.com/questions/4773609/what-is-a-relatively-secure-way-of-using-a-login-cookie surarsi biraz fikir verebilir. aynı mantıkla ne yaparsam yapayım giriş yapılır ki... alırsın cookie'yi giriş yapmış olursun. benim passwordu cookie'ye koyup koymamam bir şey değiştirmez yani. link için teşekkür ederim şimdi okuyorum. zetle bir cevap alırsam buradan da paylaşacağım aynı konuyu merak eden arkadaşlar da cevabı grsün diye. ben de sevgiden yanayım...

arkadaşlar cookie kullanmak istememin nedeni beni hatırla zelliği olmasını istemem. bilmediğim/düşünemediğim başka bir yolu mu vardır? ben bilmiyorum da varsa/ğrenirsem güzel olur. onun dışında bu cookie yi güzel saklamanın yolunu şyle buldum arkadaşlar. Kullanıcı giriş yapar => session a id/username konur => aynı zamanda cookie'ye id/username ve rastgele bir token konur => aynı zamanda bir sql tablosunda bu token tutulur. Kullanıcı tekrar siteyi ziyaret ettiğinde session boşsa ve cookie doluysa, cookie'deki token ile database'deki token karşılaştırılır. => Eşleşirse session'a o cookie'de depolanan id/username girilir + cookie'deki ve database'deki token güncellenir => Eşlenmezse kullanıcıdan tekrar giriş yapması istenir. Ekstra olarak kullanıcıya başka bir tarayıcıdan giriş yapıldı bilgisi verilse de hatta güzel bir ayrıntı olur :) NmC müridin verdiği linkteki cevabı okudum. Çok net anlamasam da üç aşağı beş yukarı bu anlattığım şekle benzer şeyler demişler sanırım. Bu şekilde kullanıcı hesabını bir yerde açık unutsa bile evinden giriş yaptıktan sonra oradaki hesabı kapanmış gibi olur. Ek düşünce: Tabi byle olunca da diyelim bi telefondan bi bilgisayardan giren biri sitenin bu zelliğine deli olabilir, çünkü sürekli browser değiştirdikçe giriş yapması gerekir. Sizce bu konuyu nasıl aşmalı? Cookie'yi her girişte değiştirmek yerine profiline "diğer bilgisayarlardan hesabımı kapat" butonu ekleyip o şekilde değiştirsek bir çzüm olabilir belki... Ama bu kez daha nce düşündüğümüz güzel ayrıntı "hesabınıza başka tarayıcıdan giriş yapıldı" uyarısı için başka bir şey düşünmemiz gerekiyor. Herneyse, grüş ve nerileri bekliyorum :) kofcu tarafından 05/May/16 21:28 tarihinde düzenlenmiştir ben de sevgiden yanayım...

Beni hatırla olayında cookiede kullanıcı adını ve şifrenin MD5'li halini tutman yeterli. Daha sonra kullanıcı siteye girdiğinde cookiede kullanıcı adı ve şifre varsa tüm kodların başlangıcında login yaptırabilirsin. Tokenle vs uğraşmana gerek yok. Hocam uğraşmak istememin sebebi kullanıcı güvenliğini sağlamak. Cookie de şifre saklamak şifresiz girişleri nleyebilir fakat kullanıcının cookie si çalındığı zaman bir işe yaramaz, kullanıcı hesabının çalındığını bile anlamaz. Bundan dolayı az nce bahsettigime benzer bir şey yapmalı. Ekstra olarak orada bahsettiğim probleme de çzüm buldum: Kullanıcı beni hatırla ile giriş yapar; user id/token1/token2 cookie ve bir database de tutulur; kullanıcı tekrar geldiğinde her 3ü doğru mevcut ise giriş yapılır token2 değiştirilir; token 2 her başarılı girişte değişir; 3ü de yanlış ise giriş yapılmaz; fakat 2 si doğru ise bu bir atak olarak kabul edilir giriş yapılmaz tüm o token verisi silinir ve kullanıcı bilgilendirilir. kofcu tarafından 06/May/16 08:48 tarihinde düzenlenmiştir ben de sevgiden yanayım...

password' ü session' a basmanın mantığı ne ki? ne gerek var? ben sadece kullanıcı id' sini tutarım, tüm işlemlerim ordan yürür zaten. şifremi hatırla olayını chrome gibi browser' lar zaten sağlıyor benim için, o yüzden cookie' ye de bulaşmaya lüzum olmuyor. Hello, i am nothing. I come from Neverland.

cache bunu yazdı Session sunucu tarafında tutulduğu için insanların müdahale etme şansı yok hocam. oh. aradığım cevap :) teşekkürler hocam o zaman hiç password falan gerek yok anladım. diyordum ki şyle bir kontrasorum var: cookie'ye de session bilgilerini koyuyorum aynı username-user id. giriş yapılıp yapılmadığını kontrol eden sistem cookie doluysa eğer session'a cookie'de yazılan değerleri atıyor ve üye girişi yapmışım gibi devam ediyor. bunda bir açık var mıdır? yoksa cookie için zel olarak cookie'de password saklamam mı gerekir? Hocam bu yaptigin riskli. Cookie client tarafinda, yani ben senin bilgisayarindan cookie'yi alirsam kendi bilgisayarimda senin hesabina giris yapabilirim. http://stackoverflow.com/questions/4773609/what-is-a-relatively-secure-way-of-using-a-login-cookie surarsi biraz fikir verebilir. There are 10 types of people in the world. Those who knows binary and those who dont...

tolgasen bunu yazdı Beni hatırla olayında cookiede kullanıcı adını ve şifrenin MD5'li halini tutman yeterli. Daha sonra kullanıcı siteye girdiğinde cookiede kullanıcı adı ve şifre varsa tüm kodların başlangıcında login yaptırabilirsin. Tokenle vs uğraşmana gerek yok. Hocam uğraşmak istememin sebebi kullanıcı güvenliğini sağlamak. Cookie de şifre saklamak şifresiz girişleri nleyebilir fakat kullanıcının cookie si çalındığı zaman bir işe yaramaz, kullanıcı hesabının çalındığını bile anlamaz. Bundan dolayı az nce bahsettigime benzer bir şey yapmalı. Ekstra olarak orada bahsettiğim probleme de çzüm buldum: Kullanıcı beni hatırla ile giriş yapar; user id/token1/token2 cookie ve bir database de tutulur; kullanıcı tekrar geldiğinde her 3ü doğru mevcut ise giriş yapılır token2 değiştirilir; token 2 her başarılı girişte değişir; 3ü de yanlış ise giriş yapılmaz; fakat 2 si doğru ise bu bir atak olarak kabul edilir giriş yapılmaz tüm o token verisi silinir ve kullanıcı bilgilendirilir. Cookie calinirsa ne yaparsan yap kullanici bilgilerini kaybeder. Sadece phpsessionid çalınması yeterlidir ve o zaten default atanır sunucu tarafından. \ /

merhaba arkadaşlar bu session işini sanırım bi türlü kavrayamadım. bu üyelik sistemi yapımı anlatan kişiler üyenin giriş yapıp yapmadığını session'daki girişlerden anlıyorlar tamam. ben de yle yapıyorum fakat session'da genelde kullanıcı id si ve kullanıcı adı tutup geçiyorlar üye hesabının giriş yapılıp yapılmadığını kontrol etmek/ kullanıcının kim olduğunu anlamak için de bu session'daki username id ye bakıyorlar fakat anlamadığım nokta o id ve üye adı başka bir şekilde session a yerleştirip hiç şifre bilmeden o üyelik ele geçirilemez mi? sonuçta session'da üye adı var mı yok mu bi ona bakıyoruz. varsa diyoruz bu üye burada oturum açmış. sadece açarken şifre soruyoruz sonra session'da kimin id'si üye adı varsa o oturum açmış kabul ediyoruz. yani bir şekilde session'a istediğimiz bilgiyi koyabilirsek hiç şifre bilmeden üyeliğe giriş yapma şansımız oluyor. bunu engellemek için password'u da session'daki username ile karşılaştırmak gerekmez mi? diye düşündüm. yani session'da id, username ve password tutup. her kullanıcının oturum açıp açmadığını grmek için username-id-password eşleşmesi olup olmadığını kontrol etmem gerekmez mi? biraz uzun mesaj oldu ama umarım anlatabilmişimdir sorumu... kofcu tarafından 05/May/16 21:21 tarihinde düzenlenmiştir ben de sevgiden yanayım...

Hocam neden cookie kullanıyorsun ki? Session'da kullanıcı id'ini md5'li olarak tutman yeterli. Session id'i cookie'de tutmakla, kullanıcı id'i cookie'de tutmanın bi farkı yok En iyisi olmadan nce, her zaman en ktüsü olmaz mı?

XSS nedir? Yenir mi? while (1<2)

Sadece kullanıcı ID'sini sessionda tut, cookieyi karıştırma hiç. Sessiona müdahale edemez kimse dışarıdan. \ /

Session sunucu tarafında tutulduğu için insanların müdahale etme şansı yok hocam. oh. aradığım cevap :) teşekkürler hocam o zaman hiç password falan gerek yok anladım. diyordum ki şyle bir kontrasorum var: cookie'ye de session bilgilerini koyuyorum aynı username-user id. giriş yapılıp yapılmadığını kontrol eden sistem cookie doluysa eğer session'a cookie'de yazılan değerleri atıyor ve üye girişi yapmışım gibi devam ediyor. bunda bir açık var mıdır? yoksa cookie için zel olarak cookie'de password saklamam mı gerekir? ben de sevgiden yanayım...