Discussion :

[psychoBob]

Bonjour,
Je lis le post épinglé sous le nom " [Login membre] Sécurité TOTALE !!!" et Maxou d'y écrire :

si tu veux un petit plus pour la sécurité, enregistre dans ta session, l'adresse IP ou la signature du navigateur (ou les deux ) et tu auras un meilleur niveau de sécurité

ensuite tu peux aussi modifier le nom de cookie de session mais ce renseignement s'obtient rien qu'en se connectant donc ce n'est pas indispensable

Alors je voudrais que l'on m'explique en quoi l'enregistrement de l'adresse IP de celui qui vient de s'identifier permet d'avoir un meilleur niveau de sécurité.
Parce que c'est la première fois que je travaille avec les sessions et je suis en train de peaufiner mon premier espace membre.


Merci de m'éclairer sur ce sujet s'il vous plait.

[MasterOfChakhaL]

je pense que ca peut te prémunir du "vol de cookie"

en effet, une solution pour gérer les espace membre est de placer chez ton utilisateur un cookie qui contient l'id de session qui peu être généré en php en utilisant la fonction session_start()...

en vérifiant la correspondance entre id de session et ip tu fermes une des nombreuses failles possibles...

Je ne suis pas un pro de la sécurité mais c'est comme ca que je l'avais compris.

Je laisse la place aux experts...

[psychoBob]

Oui mais j'en fais quoi de l'IP dans la session ? Je la récupère et je l'envoie dans la base juste après l'inscription puis je compare au fur et à mesure id et IP, chaque fois que l'utilisateur identifié poste un truc ?

[billoum]

Salut,

comme les ip changent régulièrement, tu ne dois pas l'enregistrer lors de l'inscription. Il faut que tu enregistres, dans une variable de session, l'ip de l'utilisateur qui s'est authentifié . Puis tu la compares à l'ip de celui qui a demandé la page.

a+

[psychoBob]

Salut Billoum,

Ce que je ne comprend pas c'est quand tu dis "Puis tu la compares à l'ip de celui qui a demandé la page".

Je résume :
Le gars s'identifie.
J'attrape son IP et je l'envoie en session.
Mais maintenant, à quel moment je la compare ? Quand il demande une page à acces conditionnel, comme par exemple une page de formulaire de participation au forum ?

[Yogui]

Salut

Cette technique est utile principalement dans le cas où l'identifiant de session est passé dans l'URL.

Il m'est arrivé un truc fun, une fois : un pote m'a filé un lien vers un article sur une boutique en ligne. J'ai cliqué et j'ai vu des articles qui m'intéressaient. J'ai donc fait mes courses, puis j'ai commandé et validé.
Au final, nous avons tous les deux reçu la même commande...
En fait, il avait lui aussi un panier quand il m'a donné le lien. Il y avait l'ID de session dans le lien et le site ne vérifiait pas l'IP. Conséquence : nous avons fait nos courses avec le même panier virtuel, sans nous en rendre compte...

[psychoBob]

Deux témoignages intéressants mais qui n'éclairent point ma lanterne outre mesure.

En pratique, je fais ainsi (pour le moment) :

- Le visiteur s'identifie.
- Avec ses informations de connexions je récupère l'identifiant de son compte.
- Je n'affiche les pages à accès réservés que si la variable de session contenant l'identifiant d'un compte est présente.
- J'affiche les informations concernant ce membre en allant chercher dans la table les données correspondant à son identifiant.

Maintenant je peux aussi récupérer son ip lors de l'identification, l'expédier dans la table membre sous le tuple "dernière connexion", puis comparer au fil des pages si celui qui demande l'accès à une page a bien l'id initiale ET l'ip enregistrée lors de l'identification.

J'ai bon ? Ou je me ramasse lamentablement en frottant sur les dents de devant ?


(l'identifiant de session est masqué dans l'url).

[chaced]

je pense que ca peut te prémunir du "vol de cookie"

en effet, une solution pour gérer les espace membre est de placer chez ton utilisateur un cookie qui contient l'id de session qui peu être généré en php en utilisant la fonction session_start()...

en vérifiant la correspondance entre id de session et ip tu fermes une des nombreuses failles possibles...

Je ne suis pas un pro de la sécurité mais c'est comme ca que je l'avais compris.

Je laisse la place aux experts...

Et si le connécté provient d'aol et qui change d'ip 40 fois en quelques secondes ? (chez aol, ils passent par des proxy)