algo raro pasa con ssl_session_id

[matake]

Hola,

Estoy con un proyecto en localhost usando WAMP con ssl.
Loque intento hacer es hacer unos chequeos de seguridad de sesion basados tambien en $_SERVER["SSL_SESSION_ID"]

Código PHP:

<?php
//Si pongo :
echo $_SERVER["SSL_SESSION_ID"];
//sale esto
//Notice: Undefined index: SSL_SESSION_ID in ... etc
 
//pero si pongo
print_r($_SERVER);
 
//entre las demas variables sale :
//[SSL_SESSION_ID] => 6B2E767CAF2 ....  64 caracteres
 
//y si  despues pongo esto
if(isset($_SERVER["SSL_SESSION_ID"])){
  echo "OK";
}else{
  echo "NO OK"; //sale esto como si no estuviera pero unas lineas mas arriba con print_r() si que sale.
}
?>
 

¿Alguien sabe a que se debe esto?

Otra cosa curiosa es que algunas veces ha salido y otras no, pero muchas veces no.

Gracias de antemano

[GeekGirl]

Probaste con poner un session_start() antes?

[matake]

Hola,
Acabo de probar ahora también con session_start() (aunque no lo veía mucho sentido ... pero también se que a veces cosas que parecen no estar relacionadas cambian algunos comportamientos) ...
... pero sigue igual con print_r($_SERVER) veo la variable y si pongo isset($_SERVER["SSL_SESSION_ID"]) o echo $_SERVER["SSL_SESSION_ID"] me sale que no existe.

Gracias de todos modos por la idea.
Saludos

[GeekGirl]

La verdad no se me ocurre otra cosa :/ igual te recomendaría basar tus chequeos de seguridad en algo más. Si es tan difícil de acceder no creo que sea una opción viable para eso.

Saludos.

[matake]

Si esto he pensado también. Ya tenia esto de otras chequeos basados en hashes aleatorios que cambian para para cada pagina ... etc ... pero me parecía un poco mas segura esta variable ya que en el cliente y en servidor ( según he leído ) se guarda en RAM. De momento al no ser fiable el acceso a dicha variable ... voy a renunciar a ella.

Gracias por haberlo intentado
Saludos

[matake]

Por otro lado, no se si me equivoco, esto de no poder comprobar la session ssl es un agujero bastante grande en la seguridad ... o sea por muy ssl que sea si alguien roba los ssid con las cuales compruebas si el cliente esta logeado, si te lo manda por otra connecion https solo puedes comprobar cequeando los ip y USER_AGENT que tampoco es fiable. Esto a primera vista . repito no se si me equivoco