Cookies et sécurité ?

lezao Messages postés 505 Statut Membre -  
lezao Messages postés 505 Statut Membre -
Bonjour,
Je voudrais savoir si il est possible d'utiliser des cookies et que ce soit sécurisé ?
car j'imagine que si queql'un recupere le cookie d'un utilisateur et le place dans son ordi , il sera reconnu comme l'utilisateur en question.
j'ai vu que l'on pouvait utiliser le phpsessid , mais est'ce valable au niveau sécurité ?

auriez vous des adresses de tutoriaux en français ou des reponses concernant la sécurisation d'un cookie avec php ? merci.

1 réponse

avion-f16 Messages postés 19257 Date d'inscription   Statut Contributeur Dernière intervention   4 510
 
Salut.

Tu peux utiliser les sessions sur ton serveur.
Si tu souhaites faire un système de connexion automatique, stocke l'identifiant et le mot de passe dans un cookie. À chaque chargement de page, si l'utilisateur n'est pas connecté, il suffira de vérifier si les deux variables ($_COOKIE['login'] et $_COOKIE['password']) existent : si oui, tu essayes de le connecter, sinon, tu ne fais rien.
0
lezao Messages postés 505 Statut Membre 36
 
j'ai peur quand faisant ça, quelq'un puisse copier le cookie et le mettre sur ça machine, alors il aura l'identifiant et mot de passe ?
0
avion-f16 Messages postés 19257 Date d'inscription   Statut Contributeur Dernière intervention   4 510
 
Tu peux utiliser un hash comme le MD5.

Pour ça, tu dois :
- Crypter le mot de passe dans la base de données (lors de l'inscription et de la modif. du compte)
- Crypter le mot de passe dans le cookie
- Crypter le mot de passe dans $_POST avant de le comparer pour la connexion
- Ne pas crypter le mot de passe dans $_COOKIE avant de le comparer pour la connexion

Pour hasher une chaine en MD5, il suffit d'utiliser la fonction md5(string $chaine).
https://www.php.net/md5
0
lezao Messages postés 505 Statut Membre 36
 
je te remercie beaucoup pour ses infos, je vais regarder ça de plus pret.
J'ai juste une quesstion qui me reste....

Si quelqu'un fait un copier coller du fichier cookie et le met dans son dossier cookie, est-ce qu'il ne se connecte pas a la place de la personne piraté ?

c'est ce que je comprend pas, parceque faire un MD5 sur un mot de passe, permet de ne pas le lire ok, mais rien n'empeche de piquer le cookie et de le coller , non ?
0
avion-f16 Messages postés 19257 Date d'inscription   Statut Contributeur Dernière intervention   4 510
 
C'est exact, mais si tu souhaites offrir une option de connexion automatique, c'est la seule solution. Par contre, tu peux demander le mot de passe pour modifier certaines informations (mot de passe, adresse email, ...) : le hackeur n'aura pas le mot de passe étant donné qu'il est hashé (un hash est un algorithme qui ne fonctionne que dans un sens, ce n'est pas "déhashable"). Encore une autre solution : stocker dans une table un identifiant unique, le login, le mot de passe, la date d'expiration, l'adresse IP et l'user-agent, et stocker dans un cookie l'identifiant unique. Grâce à cet ID unique, tu pourras récupérer toutes les infos et faire des vérifications.
0
lezao Messages postés 505 Statut Membre 36
 
je pourrais aussi comparer son adresse IP a condition que cele ci ne change pas.
Le plus simple serait alors de ne cookifier (lol) que le login et de demander le mot de passe quand meme, mais c'est dommage que ce soit pas plus simple et sécurisé.
Quoi que presque impossible a part toujours L'ip qui est la seule preuve de l'autenticité de la personne, encore que plusieurs individu dans un meme foyer pourrais se pirater entre eux (lol) a cause de l'ip en commun.
Bon je m'emballle..... je vais regarder ça en détail...merci encore.
0