Faille de sécurité avec les sessions ?

Bonjour à tous,

J'ai lu récemment que lors de l'appel de la fonction session_start, PHP essaie de lire le contenu d’un cookie nommé par défaut PHPSESSID qui contient l’identifiant assigné à l’utilisateur. Si ce cookie n’existe pas, un nouvel identifiant est créé de manière aléatoire puis est envoyé par cookie au navigateur (sans date d’expiration). PHP ouvre alors, s’il existe, un fichier sur le serveur, qui a l’identifiant utilisateur comme nom.

Je suppose que si je met un identifiant aléatoire dans le cookie PHPSESSID et que celui-ci et utilisé par un autre utilisateur cela veux dire que j'aurai accès à toutes les infos stockées dans la session de l'autre utilisateur ?

Tout a fait, ça s'appelle tout simplement du vol de session.

Et peut-on empêcher cela ?

Une petite recherche :google:

:arrow: Protection contre le vol de session

La seule réelle solution c'est l'utilisation de SSL via https.
Si les communications sont cryptées , impossible de récupérer l'id de session et donc de la voler.

Les autres mesures sont tout plus des gènes pour le hacker.

Bien entendu il ne faut jamais diffuser l'id de session dans l'url comment on peut encore trop souvent le voir : http://www.monsite.com?PHPSESSID=1234

SSL n'empêche pas un vol de session par Cross Scripting.

Effectivement , mais je partais du principe que l'application est libre des faille "classique" :)

Ce que je veux dire c'est qu'il ne faut pas laisser penser que SSL est une sécurité absolue et que le reste ne serait que du gadget.
Voler une IP par exemple ce n'est pas une mince affaire à réaliser.

Merci beaucoup pour vos réponses.

J'ai lu le tuto que Kreepz m'a envoyé mais je n'est pas très bien compris. Le mieux je pense est de faire des tests en local pour voir comment fonctionne le vol de session afin de mieux comprendre comment me protéger contre ça.

Merci encore :-)