Безопасность данных

Здравствуйте, программисты! У меня к вам такой вопрос: правильно ли я обеспечиваю безопасность данных пользователя? А обеспечиваю я ее следующим образом:

в БД есть таблица `users`, содержащая информацию о пользователях. В ней есть поля `id` (уникальный идентификатор пользователя) и `session-id` (уникальный идентификатор сессии пользователя).

Пользователь считается авторизированным, если у него в cookie хранятся id и session-id, соответствующие некоторой учетной записи, и именно эта учетная запись становится учетной записью этого пользователя.

Когда пользователь переходит на новую страницу, `session-id` его учетной записи в БД меняется на случайную комбинацию символов. Этот же новый session-id записывается ему в cookie.

Когда пользователь авторизируется, то ему в cookie записывается id, соответствующий его учетной записи, а также в БД и в cookie пользователя записывается новый случайный набор символов.

Таким образом, session-id обновляется при авторизации и при переходе на новую страницу.

Генерируется session-id по следующему алгоритму:
Скажите пожалуйста, безопасен ли алгоритм нахождения session-id и безопасна ли вся система в целом?

Заранее благодарен.

Добавлено через 2 минуты
И еще скажите, пожалуйста, может ли быть опасным для безопасности данных всплытие warning-a? Ничего, например, если появится строчка вроде этой:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'INERT INTO `users` (`session-id`, `login`, `password`, `name`, `last-name`, `bir' at line 1

0

Строка опасна тем, что запрос на инсерт не будет выполнен. Проверьте синтаксис.
Насчет безопасности: вполне интересно, однако база будет нагружена сильно при 1к активных хитов (зависит от сервера).

1

Сообщение от uMagic Строка опасна тем, что запрос на инсерт не будет выполнен. Проверьте синтаксис.

Не, с синтаксисом проблем нет Я спрашивал на случай, если они возникнут. Понятно. Значит, хакер, увидев ее, ничего секретного не узнает.

0

Сообщение от Hagrael И еще скажите, пожалуйста, может ли быть опасным для безопасности данных всплытие warning-a? Ничего, например, если появится строчка вроде этой:

Для потенциального кулхацкера это лишняя информация к размышлению.
У опытного пользователя это вызовет улыбку и насмешки.
У остальных это вызовет недоумение.

Кроме разработчика на стадии разработки, больше ни для кого никогда плюсов в этом нет.

Сообщение от Hagrael Таким образом, session-id обновляется при авторизации и при переходе на новую страницу.

Каждый раз при каждом переходе на любую новую страницу?

1

Сообщение от Vovan-VE Для потенциального кулхацкера это лишняя информация к размышлению. У опытного пользователя это вызовет улыбку и насмешки. У остальных это вызовет недоумение. Кроме разработчика на стадии разработки, больше ни для кого никогда плюсов в этом нет.

Понятно.

Сообщение от Vovan-VE Каждый раз при каждом переходе на любую новую страницу?

Да.

0

а в чём смысл генерировать этот session_id и записывать его в базу, вы считаете это даёт дополнительный уровень безопасности? я конечно соглашусь, что от подбора phpsessid это спасёт, потому как придётся подбирать 2 значения, что практически нереально. но и даже один phpsessid подобрать практически нереально, поэтому обычно хакеры не подбирают, а пытаются украсть phpsessid. в вашем случае вместе с ним будет украден и session_id, который вы генерируете, поэтому лично у меня вызывает сомнения такой способ защиты. я так понимаю, что ваш session_id изменяется при переходе на другую страницу но к самой странице не привязывается.

1

Я соглашусь со многим, здесь уже сказанным, что генерировать session_id не выгодно.
Во-первых - это лишняя нагрузка на сервер...
Во-вторых - токой ход вряд-ли даст более безопасную систему...
В-третьих - больше заморочки с кодом...

1

Сообщение от ПАЦАН я так понимаю, что ваш session_id изменяется при переходе на другую страницу но к самой странице не привязывается.

Да, никакой привязки к странице нет.

Сообщение от ПАЦАН а в чём смысл генерировать этот session_id и записывать его в базу, вы считаете это даёт дополнительный уровень безопасности? я конечно соглашусь, что от подбора phpsessid это спасёт, потому как придётся подбирать 2 значения, что практически нереально.

Сессии у меня вообще не используется, поэтому хакеру придется подбирать только одну зашифрованную строку - session-id. Но безусловно, о том, что хакер будет подбирать значение session-id, я не задумываюсь, т. к. это практически нереально.

0

А сложно ли подобрать строку, которую возвращает выражение
?

0