encriptacion de sesiones

[redomir]

Buenos dias, estoy programando un area privada y quisiera encriptar las sesiones.

¿Se puede hacer con base64_encode de esta forma?

Código:

$_SESSION [$nombre] = $valor;
base64_encode($_SESSION [$nombre]);

Muchas gracias.

[javierflti]

Creo que sí, pero me parece que tiene que ser así.

$_SESSION [$nombre] = base64_encode($valor);

Porque así guardas en $_SESSION lo que tenga $valor ya encriptado.

Aunque espera a ver si alguien te da una respuesta más concreta

[dany0425]

Si queres te recomiendo que uses $_SESSION[$nombre] = sha1(md5($valor));

o convina cuantos hash quieras, esto para que el usuario no pueda desenredar la piola tan facil con un colisionador de hash si eso es lo que quieres

[goransh_pc]

Hoal amigos leyendo este post me surge una duda.

Es una buena práctica encriptar las variables de sesiones ??

Tengo una web y cuando el usuario se loguea, asigno variables de sesion con el nombre, apellido, su id. Sería bueno que las encripte ?? que riesgo corro ahora que no las tengo encriptadas ?

Gracias.

[Triby]

Las variables de sesión se guardan en el servidor, por lo que realmente no tiene caso encriptarlas, lo que se debe evitar es que usuarios malintencionados tengan acceso a esa sesión.

Tal vez sirva de algo leer esto: http://www.forosdelweb.com/f18/aport...8/#post4265380

[goransh_pc]

Gracias Triby,

Pero entonces de que me serviría encriptarlas ? en mi caso que no las tengo encriptadas, o en que situación se recomienda hacerlo y cual no.

Muchas Gracias.

[Triby]

Iniciado por Triby

... realmente no tiene caso encriptarlas ...

Alguna parte de esa frase no quedó del todo clara?

Si te queda alguna otra inquietud respecto a cómo alguien puede robarse una sesión, quiere decir que no leiste el enlace que sugerí.

[fishdesign]

Aunque tuviera utilidad (que como bien explica triby, todo esto se genera de lado del servidor), qué sentido tiene cifrarlo (encriptar es una mala traducción de encrypt) en base64 cuando fácilmente podemos hacer un decode?

Tendrías que buscar un cifrado reversible basado en una key/salt

[webankenovi]

independientemente de encriptar o no las sessiones , deberias configurar correctamente las directivas de las sessiones , ya que veo que le preocupa la seguridad.

ini_set('session.hash_function','whirlpool'); // md5 es el algoritmo por defecto

para no propagar el id por url

ini_set('session.use_trans_sid',0);
ini_set('session.use_cookies',1);
ini_set('session.use_only_cookies',1);

solo sera accesible la cookie desde http y no sera accesible para lenguajes de script

ini_set('session.cookie_secure',0);
ini_set('session.cookie_httponly',1);

saludos amigos :O