Session manager...

Co si myslite a mojom session managerovi? Chcem pocut VAse nazory, navrhy na zmeny, zlepsenie atd., som zacinajuci PHP, MySQL koder:

Prva Login stranka:

1. Nastavenie mena mojej session -> vzdy moje vlastne, napr (QIABH)
2. Generovanie mojho vlastneho session_id - random generator z cisel, pismen
3. Spustenie session_start();
4. Get USER_AGENT + generovanie ineho random string - volam ho secret_key = toto zakryptujem do md5 -> moj agent
5. nastavim potrebne $_SESSION variable -> agent zo 4.bodu a este autorisation (value = napr. true)
6. updatnem session tabulku v db a insertnem tam php_session_id, expiration, secret_key, person_id, login_time, domain
7. zaroven insertnem nejake info do session_history -> pre teraz aspon login_time a domain (ip address)

Druha login stranka:

1. Pred nacitanom chceck session -> PHP session and DB session
select from db where session_id = 'PHP session_id'
2. Citam data zo session_table, pripravim agenta z USER_AGENT a secret_key, ktory citam z databazy + plus crypt s md5
3. Hlavna podmienka -> porovnavam agentov (databazoveho a ulozeneho v PHP session), potom expiration ci uz nevyprsala, nulove hodnoty v session table, dalej session_hodnoty ci su take ako som ich nastavil na zaciatku, potom session_name atd. => ak vsetko OK, pokracujem, ak nie, BAD BOY ACCESS
4. vygenereujm nove secret_key a updatnem session_variable USER_AGENT s novym secret_key a takisto aj DB.
5. Potom zobrazim na stranke este aby user zadal urcity znak z FAMILIAR WORD (toto robim 2x) a este reminder_phrase
6. Ak zada hodnoty v predchadzajucom kroku spravne -> updatnem este vytvorim novu session premennu ADDED_SECURITY a nastavim na true a updatnem takisto databazu a nastavim column Added security na tru v session table.

Body 1-4 z druhej login stranky kontrolujem na kazdej stranke, ktora je sucastou secret secure sekcie.

to je asi tak vsetko, necakal som, ze to je take tazke dat na papier a popisat to.

Tak co stale nikto?
Akym sposobom riesite vy login system?

no, vzhľadom na to, že neuskladňujem na mojom webe nič, čo by bolo nejak extrémne cenné a rovnako vzhľadom na to, že stačí trošku social engineeringu alebo phisingu a všetky tieto opatrenia sú ti na dve veci ( a ), považujem podobné opatrenia za prehnané preto používam takú jednoduchú klasiku so $_SESSION ...

Ja si nemyslim, ze je to zase az take prehnane, chcel som vytvorit nieco specialne, momentlane robim pre jednu uctovnicku firmu a vytvaram klientsku zonu...
Ja som si toho vedomy, ze nie je mozne vytvorit 100% aplikaciu, to urcite nie, ale uplatnit rozne bezpecnostne techniky sa myslim oplati - ztazit tym cestu "BAD BOY" - ovi, ktory ma zle umysly .

este to hod cez https a bude to ok nieco podobne budem robit aj ja a toto nie je zly navod diki

jasne, SSL je uz kupena a nainstalovana na servri, takze 100% to pojde cez https