PHP offenbart Probleme mit Session -IDs

abgelegt im Archiv PHP-News am 09.04.10

© Pink Sherbet Photography

Es ist schon erstaunlich, dass dieses Problem immer noch nicht behoben ist. Es geht um die Vergabe von Session -IDs bei der Anmeldung an ein PHP -System und die Vermutung, dass diese nachwievor erraten werden können. Das meint zumindest der IT -Sicherheitsfachmann Andreas Bogk und verweist laut einem Artikel bei heise.de darauf, dass PHP offensichtlich nicht mit einem so genannten Zufallszahlengenerator arbeitet.

Abhilfe wurde zwar mit der Version PHP 5.3.2 und auch schon unter 5.2.13 geschaffen - die erhöhte Sicherheit reicht indes nicht aus, um nicht wieder vorhersagbare Session -IDs zu produzieren.

Der einzige Ausweg sind derzeit Anwendungen, die mit Suhosin erweitert wurden, denn in diesen Fällen bzw. bei diesen Installationen tritt das Problem nicht auf.