Sichrheit

[vitalinka]

Hallo.
Ich habe ein Paar Fragen zur Sicherheit.

1) Auf Ordner, wo alle Sessionsdateien liegen kann jeder (wenn man URL weißt) zugreifen und die Session offnen und ansehen. Kann er die Dateien verändern und Zugriff verschaffen?
Ich habe eine index.html in Ordner abgespeichert, damit jedermann, der auf Ordner zugreift keine Sessionsdateien sieht. Ob das was bringt?

2)Wie kann ich Einlogen Auslogen realisieren, so dass, wenn ein User eingelogt ist kein anderer unter seinem Namen und Pass. Einlogen kann? Ich habe versucht mit DB Eingelogt=1 Ausgelogt=0, aber wenn er sich nicht auslogt, sonder Browser schlisst, dann bleibt er für immer Eingelogt und kann nicht mehr rein.

Ich habe zur Zeit Einlogen mit Session realisiert, aber zwei User unter gleichen Namen und Pass können sich gleichzeitig einlogen.
MfG

[wahsaga]

Re: Sichrheit

Original geschrieben von vitalinka
1) Auf Ordner, wo alle Sessionsdateien liegen kann jeder (wenn man URL weißt) zugreifen und die Session offnen und ansehen.

wenn dein session-temp-verzeichnis über HTTP zugänglich ist, ist das ein konfigurationsfehler deines webspace.

Ich habe versucht mit DB Eingelogt=1 Ausgelogt=0, aber wenn er sich nicht auslogt, sonder Browser schlisst, dann bleibt er für immer Eingelogt und kann nicht mehr rein.

dann logge die letzten aktionen der user mit zeitstempel in der DB mit - und lösche regelmäßig alle datensätze, die aussagen, dass die letzte aktion des users mehr als x minuten zurückliegt.