Организация авторизации

[Yaroslav]

долго думал и искал способ безопасной авторизации и вот выношу на ваше обозрение следующее:

1. естественно идет сверка логина и пароля с данными на сервере
2. при каждой авторизации запускается код генирации случайного пароля, тоесть он будет все время новый.
3. логин и случайный пароль забиваются в хеш на сервере и в куки пользователю.

естественно что далее уже куки будут сверятся с временным паролем по логину.

очень прошу высказать ваше мнение.
кто знает способ луше также прошу поделиться

[Greg]

по-моему, ты описал какой-то аналог переменной сессии

[arto]

а почему оно называется "безопасной"?

[Yaroslav]

Greg
может быть, но с сесиями я знаком поверхносно...
и по сравнению с ними тут есть свою плюсы:
1. работа быстрее
2. результат работы сесий надо удалять, а тут нет

[Yaroslav]

arto
а что опасное?

[arto]

а что там именно безопасно?

[Yaroslav]

arto
1. лучше чем передавать логин и пароль а куках
2. даже лучше чем передавать просто логин
3. и лучше чем передавать в зашифрованом виде

[arto]

чем лучше? чем логин?
а если я перехвачу ваш хеш?

[Greg]

Yaroslav
зачем тут куки???
есть переменные сеанса, почитай сначала про сессии и не пори лабуду

[Yaroslav]

arto
это как же если он на сервере лежит?
и при следующем заходе данные будут переписаны

[Yaroslav]

Greg
можно и без них, но с ними удобнее, дабы не прикреплять к каждой ссылке $login & $kod

[arto]

"3. логин и случайный пароль забиваются в хеш на сервере и в куки пользователю."

[Yaroslav]

а если я перехвачу ваш хеш?

это как же если он на сервере лежит?
и при следующем заходе данные будут переписаны

"3. логин и случайный пароль забиваются в хеш на сервере и в куки пользователю."

максимум - перехватишь случайный код в браузере юзера
но что с ним делать ведь незнаешь?
ну повесишь его себе в куки и пойдешь на главную страницу, где тебя попросят ввести правильный пароль, которого ты не знаешь

[arto]

почему на главную?

[Yaroslav]

arto
а куда еще?
хотя конечно да, если подсмотрел урл куда надо идти то можно будет зайти при условии:
1. вытащил с куков данные (которые я вешаю на хранение до конца сеанса)
2. повесил кук обратно. на своем апаче.
3. запомнил куда надо идти.

но такими же грехами страдает любая система авторизации
(если даже не больше)