Авторизация пользователей

[slips]

Доброе утро, вопрос собственно подскажите какой способ авторизации пользователей более надёжный на сегодня ? Буду очень признателен за ответы, спасибо.

[_PROGRAMM_]

Самый надежный способ авторизации - авторизация на стороне сервера(серверные скрипты). Это могут быть PHP PERL.

[slips]

Это понятно что серверные скрипты, я говорю про то каким образом:
1.Сессиями ?
2.Куками ?

[ssdm]

Сообщение от slips

Это понятно что серверные скрипты, я говорю про то каким образом:
1.Сессиями ?
2.Куками ?

Сессиями.
Вот ссылка на тему где разжевывают авторизацию.

[slips]

Спасибо.Очень интересная информация.

[slips]

А как быть если был похищен PHPSESSID ?

[mv28jam]

Сообщение от slips

А как быть если был похищен PHPSESSID ?

Проверять ip адрес, записав его в сессию при авторизации.
Можно ещё проверять тип браузера и опер системы ("HTTP_USER_AGENT"), у одного пользователя не смениться, а вот хакеру ещё узнать надо чем пользовался тот, у кого он id украл.

[slips]

Сообщение от mv28jam

Проверять ip адрес, записав его в сессию при авторизации.
Можно ещё проверять тип браузера и опер системы ("HTTP_USER_AGENT"), у одного пользователя не смениться, а вот хакеру ещё узнать надо чем пользовался тот, у кого он id украл.

Хорошо допустим ip динамический, как быть в этом случае ?
А сколько HTTP_USER_AGENT есть ? их же наверняка можно перебрать. эх..

[mv28jam]

Либо удобство, либо безопасность.

Сообщение от slips

Хорошо допустим ip динамический, как быть в этом случае ?

Если ip поменялся авторизуемся ещё раз.

Сообщение от slips

А сколько HTTP_USER_AGENT есть ? их же наверняка можно перебрать. эх..

Можно, но можно этот момент отслеживать и "убить" сессию если HTTP_USER_AGENT поменялся и подбор не удасться.

Конечно для "правильного юзера" это всё будет неприятным сюрпризом но смотрим выше

[slips]

А подделать IP реально ?