Sesiones seguras

[patilanz]

Hola me entere de que las sesiones se pueden manipular. Como??

Con esto no son seguras... Como hacer las seguras? Se me ocurrió encriptar las y luego descriptar las cada vez que el usuario realiza una petición.

Alguna otra idea o algo que añadir?

[repara2]

https://www.google.de/search?q=segur...ient=firefox-a

[webankenovi]

las sessiones se guardan en el servidor por lo que el cliente no las puede manipular es indiferente si las encriptas o no.

ahora si nos comentas un poco sobre lo que te has enterado y/o tu sistema de sessiones implementancion etc... podremos aconsejarte.

Algo de info : http://www.forosdelweb.com/f18/seguridad-web-1004102/

[patilanz]

Bueno, simplemente quería saber si las sesiones son seguras y si no como hacer las seguras?

[Idteames]

Lo que tu dices, estas equivocado, lo que si pueden hacer, es si yo por ejemplo, pillo la id de otro usuario de tu web, y la escribo en la barra:

http://tusitio.com/login.php?id=123 (en caso de que sea asi)

Yo sin ser ese usuario, podria acceder a su perfil o informacion. Pero ya te digo, que solo si coincide en tu estructura.

[patilanz]

Iniciado por Idteames

Lo que tu dices, estas equivocado, lo que si pueden hacer, es si yo por ejemplo, pillo la id de otro usuario de tu web, y la escribo en la barra:

http://tusitio.com/login.php?id=123 (en caso de que sea asi)

Yo sin ser ese usuario, podria acceder a su perfil o informacion. Pero ya te digo, que solo si coincide en tu estructura.

No. Yo utilizo sesiones para todas las paginas y no utilizo get sino post .

Entonces no habría problema?

[webankenovi]

Sobre sessiones son seguras mientras no se trasmita el identificador de session por la url para eso debemos configurar algunas directivas de php

http://www.forosdelweb.com/f18/segur...ml#post4416219

tambien debemos proteger el robo de sessiones.
un usuario conectado a wiffi es observado por alguien que ha entrado en su wiffi le snifea la cookie de session y ya es posible acceder desde el ordenador atacante , digamos si ese sistema no tiene ninguna proteccion tan solo verifica el id de session , por eso es de obligacion proteger la cuenta del usuario en la medida de lo posible

http://www.forosdelweb.com/f18/segur...ml#post4419281