Ja, habs geändert. Eine Wiederherstellung des urspr. Threads scheint sich ja erübrigt zu haben.Ach ja: könnten wir vielleicht noch "Gelöschter Thread" aus dem Titel rausnehmen?
Als alleiniges Mittel sicher nicht. Aber wenn man mehrere kombiniert (z.B. Cookie, IP und Formularfeld) gewinnt es an Sicherheit und erschwert die Nachahmung. Webbanking Seiten prüfen auch die IP. Das bereitet regelmäßig Probleme mit Providern, die gern mal mittendrin die IP wechseln, weil man darauf als Ursache schwer drauf kommt. Problem ist halt, dass ein Angreifer nur solange ausprobieren kann wie die Session läuft. Das heißt, je länger eine Session läuft, desto größer das Risiko, egal wie man es macht. Daher sollte man m.E. für sensible Seiten die Session so kurz wie möglich halten. Sensibel max 60 Minuten, hochsensibel (z.B. Banking) max. 15 Minuten.
phpbuddy.eu schrieb:
Als alleiniges Mittel ist es komplett unbrauchbar, da oft viele Personen über die gleiche öffentliche IP arbeiten...
Wenn der Angreifer so weit ist, dass er deinen SSL-Tunnel (den du auf alle Fälle haben musst, wenn du sensible Daten handhabst) aufbrechen kann um an dein Session-Cookie heranzukommen, dann kann er auch deine IP ohne Probleme vortäuschen.
Damit meine ich, dass bei jedem Request gegen den Server ein Formularfeld mit einer identifizierung mitgegeben wird. Sei es eine personenbezogene, sessionbezogene oder sogar formularbezogene. Als alleiniges Mittel natürlich auch unbrauchbar aber es erhöht zusammen mit anderen Maßnahmen die Komplexizität (wenn auch nur leicht), einen unberechtigten Request auszuführen. Aber je nach dem wie man den Inhalt gestaltet kann man es schon erschweren.
