[php] =?iso-8859-1?Q?Re:_=5Bphp=5D_Sessions:_PHPSESSID-=C4nderungen?=

[Guido Haeger]

Garvin Hicking schrieb

> Wie kann ich nun verhindern, daß ein Spaßvogel sich die URL
> kopiert und die SessionID nach Gutdünken manipuliert, um dann
> zufällig in einer gültigen Session zu landen? Bei einer Seite wie
> Amazon mit zigtausend parallelen Zugriffen muß das doch
> Probleme bereiten, wie verhindern die das?

Wenn man einen MD5-Hash als Session-ID benutzt, dann gibt es theoretisch
340282366920938463463374607431768211456 mögiche IDs (2^128). Auch bei
10.000 parallelen Zugriffen ist es dann sehr schwierig eine Session-ID
zu erraten. Wobei Amazon anscheinend eine vergleichsweise kurze
Session-ID verwendet.

Guido Haeger