Является ли это безопасной системой аутентификации для приложения, управляемого ajax?

Question

Я извиняюсь раньше времени, потому что я не могу отличить объяснения вещей и блок-схемы. Это не конкретная проблема с кодом, а общий вопрос о безопасности сеанса.

Я пытаюсь устранить сразу несколько потенциальных проблем. Я думаю, что это берет на себя:

• CSRF
• Фиксация сессии
• Предсказание Session
кражи
• Cookie (через уязвимости браузера)
• Session sidejacking

Я понимаю, что сессия может по-прежнему должны быть перегружены, если оба IP-адреса атакующего и пользовательский агент совпадают с аутентифицированными пользователями. Я предполагаю, что для этого пуленепробиваемого вам понадобится SSL?

Буду признателен за любые критические замечания, если вы можете разобрать, что я пытаюсь сказать, с помощью clusterfuck ниже. Это более или менее то, что я делаю:

EDIT - еще один вопрос, который у меня был: можно ли предположить, что у пользователя не будет IP-адрес, который достаточно часто изменяется, чтобы это стало проблемой?

Answer 1

Это выглядит хорошо, хотя вы должны выяснить, что делать с запросами AJAX, которые должны возвращать JSON или XML, где сессия истекла.

Нет, небезопасно предполагать, что IP-адрес останется неизменным. Несмотря на то, что AOL был почти мертв, для этого было известно, что они будут использовать 20-30 прокси-серверов для запроса ваших HTTP-серверов для одного удаленного клиента.

SSL является обязательным, и сертификаты очень дешевы сейчас - это должно облегчить все проблемы re. Атаки «человек в середине».