Промяна на сесиен идентификатор

[bunchevi]

Имам неяснота по следния въпрос. Написах код, при който на всяко отваряне на страница от сайта се сменя сесийния идентификатор /това става с функция която сама си написах/. Само че чета че е препоръчително да се слага session_regenerate_id(true) за по- голяма сигурност. Доколкото разбирам това, което прави тази функция е да сменя sid и при true както е в случая да изтрива старата сесия. Понеже единственото което ми е необходимо от тази функция е изтриването на старата сесия се чудя как да я комбинирам с моята функция за смяна на id. При проверка за валидност на сесия използвам само стойността на id-то генерирано от моята функция, това другото id не го използвам. Според вас това добра идея ли е ?

 

[gamena007]

Защо просто не използваш session_regenerate_id ?

 

[bunchevi]

Защото някъде четох че готовите функции за случайни числа са опасни тъй като могат да се предвиждат. Не знам дали е наистина така и с тази. А иначе има ли вариант да стане както описах по- горе или не и според вас как е най- добре?

 

[exec]

Явно правиш нещо много секретно. Ако не е така, в общия случай РНР ти предоставя всичко и на доста добро ниво по отношение на сигурността. Предостатъчно е при логин/логаут да генерираш отново id на сесията и друго не ти трябва.

 

[bunchevi]

Ами сайта е за услуги, но все пак нали трябва да се осигури сигурност за потребителските данни... затова е и всичко това. А какво значи сигурност на доста добро ниво, за mt_rand() има възможност по това което чета да се предвиди какво ще генерира, това отнася ли се и за session_regenerate_id() ? Това всъщност ме интересува главно.

 

[exec]

Не знам, не мога да ти помогна. Дълги години се занимавам само с РНР, такива работи не съм правил, не мисля, че има особен смисъл, освен ако не правиш нещо на ниво НАСА, електронно банкиране и т.н.

Вярно е, че mt_rand е от вида на така наречените псевдо-генератори на случайни числа, защото се знае границите, в които работи, но все пак има над 4 милиарда възможни резултата. Чисто теоретично е възможно да се познае резултата, но в практиката едва ли някой ще се занимава да го прави.

http://improved-security.com/wiki/Randomization_%28PHP%29

 

[bunchevi]

Благодаря ти за разясненията. В такъв случай ще те послушам и ще прочета нещата от сайта, който си пратил.