|
ru.cgi.perl
- RU.CGI.PERL ------------------------------------------------------------------
From : Pavel Ammosov 2:5020/52 23 May 2001 23:01:47
To : All
Subject : Re: session_id
--------------------------------------------------------------------------------
> Hello apavel@isabase.philol.msu.ru.
> 17 Май 01, 01:10 писал apavel@isabase.philol.msu.ru мэссадж для All такого
> типа:
> >> a> считай по нему MD5 (Digest::MD5 с CPAN).
> >> >> У меня паранойя. =) Все равно большая вероятность.
> >> r> Если у тебя паранойя, то ты уже посчитал, конечно, вероятность
> >> r> повторения $$ в течение секунды?
> >> Здесь говорилось про "пару килобайт всякого мусора из /dev/urandom"
> >> с последующей обработкой в MD5. Здесь вероятность есть.
> a> Вообще-то тред начался с того, что кое-кто спросил:
> А потом он плавно перешел в немного другую задачу - не только сгенерировать
> уникальный id, но и добиться его защищенности от кул хацкеров.
Я готов с тобой на ящик водки поспорить, что хацкеру слабо будет подобрать
sid, вычисленный по моей схеме.
> Правда вот сниффер... Hеужели от него никакой защиты нет? Окромя SSL?
Заменять ид сессии после каждого реквеста, тогда если
злоумышленник пролезет со старым ID, он получит отворот поворот. Правда,
что будет с юзером, если он придет после злоумышленника лучше не думать :-)
--
I use technology in order to hate it more properly.
-- Nam June Paik
--- FIDOGATE 4.4.0-snp10
* Origin: Zenon N.S.P. news server (2:5020/52.0)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
