kullanıcı hatırlama için başka alternatif ??

[deggial]

-- Kullanıcıyı hatırlamak için sadece cookie dosyası kontolü kullanıyorum.

-- Session kullanmıyorum. (kullanmak istemiyorum)

-- Cookie içerisine kullanıcıAdı, rasgele üretilmiş 256 karakterlik bir şifre (DB'de de aynı rasgele şifre kayıtlı, kullanıcı şifresi değil)kaydediyorum. Kullanıcı girişini bu ikisi + IP adresi kontrol ettirerek gerçekleştiriyorum.

-- Sorun şurada; IP adresi sandığımdan çok güncellenen bir şeymiş aslında.. Herkesi benim gibi modemini 7 gün 24 saat açık bırakır bilirdim ancak öyle değilmiş.

-- IP kontrolünü çıkarayım diyorum sistemden, ancak bu sefer de eğer birisi başkasının cookie'sini bilgisayarına kopyalarsa, üye hesaplarını çalması mümkün olacak.
Soru1: ya da mümkün olmayacak mı?? cookie dosyarını dışardan bulup cookie klasörüne atmakla çalışır hale gelirler mi, yoksa tarayıcılar bu ihtimali düşünüp cookie'leri indexliyor ve sonradan eklenmiş cookie'leri devre dışı bırakıyor mu??
Eğer soru1'in cevabı "yok öyle bişey" ise; Soru2: IP adresi yerine, 3üncü kontrol olarak kullanıcının bilgisayarından ne kaydettirebilirim?? "Request." sınıfı içinde her kullanıcıda unique olan bir bilgi bulmam mümkün müdür??

[anov]

XSS ile oturum çalınmasını (document.cookie) hatta şimdi adres çubuğuna
javascript:alert(document.cookie) yazarak şu anda kullandığın oturumu görebilirsin ceviz.net te.

Bunu engellemek istiyorsan ie 7 ve .net 2.0 la birlikte gündeme gelen (sanırım ff 2 de vardır) HttpOnly cookie kullanabilirsin. Kullanımı basit:

cookie.HttpOnly = true;

Bu çeşit cookie leri javascript tarafından okunamaz. Eğer kullanıcının kendisinin kopyalamasından çekiniyorsan, bence çekinmen yersiz. Oturumu kapattığı zaman silersin olur biter?

Kolay gelsin.

[deggial]

@anov
Teşekkürler.

Ancak cookie'nin javascript tarafından okunabilmesi sorun değil aslında.. hatta okunamazsa sorun olur, sayfa içerisinde javascriptin kullanacağı, kullanıcı girişi harici bazı bilgileri daha kaydediyorum.

Asıl açıklamaya çalıştığım kısım, en sonda senin de söylediğin cookie dosyasının kullanıcıdan çalınması ihtimali.. Sonuçta kullanıcı Çıkış yapmak istemiyor, yarın siteye geldiğinde hatırlanmak istiyor, bu da cookie'nin saklanması gerektiği anlamına gelir. Bilgisayara sızmış bir trojan cookie dosyasını çalarsa ve cookie dosyası başka bilgisayardaki cookie klasörüne atılırsa, hacker diye tabir ettiğimiz bu arkadaş insansı varlık, çaldığı cookie ile hesabı da çalmış olacak. Bu ihtimal yüzünden cookie'deki unique şifre yanında bir de IP kontrolü yapıyorum şu anda... ama IP'yi kaldırmam gerekiyor, zira hatırlanma süresini çok kısaltıyor...

Siteye kullanıcıdan ilk istek geldiğinde Javascript ile MAC adresini cookie'ye kaydedip, daha sonra istenen sayfaya geri döndüren bir ara sayfa yapmayı düşündüm az önce.. Onu araştırıyorum ancak sıkıntı var sanırım bu konuda da.. ActiveX'e signture gerekiyormuş ve Firefox'da da çalışmıyormuş sanırım... Bakınıyorum ama mümkün görünmüyor..