Если кто-то перехватит вашу сессию - считайте, что отдал ключи от квартиры незнакомцу. Злоумышленник сможет зайти в ваш аккаунт, читать переписку, менять пароль или даже оплачивать покупки от вашего имени. Звучит страшно? Ещё бы.
В RK-CMS мы решили не накручивать сложные системы с кучей датчиков, а сделать защиту простой и понятной, как три копейки. Вот что мы делаем:
1. Записываем IP и User-Agent
Представьте, что сессия - это пропуск в закрытый клуб. В пропуске указано не только имя, но и ваш рост, цвет волос и любимую футболку. Если приходит человек с чужим пропуском, но в другой одежде и с другим лицом - охрана его не пустит.
Так и у нас: в сессию жёстко записывается ваш IP-адрес и браузер (User-Agent). Если вы вдруг "пересели" с телефона на ноутбук или сменили сеть - сессия мгновенно становится неактивной. Да, иногда это раздражает, когда роутер перезагрузился и IP поменялся. Но лучше лишний раз залогиниться, чем отдать аккаунт хакеру.
2. Шифруем данные сессии
Вся информация внутри сессии - это не открытая записка, которую можно прочитать, а запечатанный сейф. Даже если кто-то перехватит пакет данных, он увидит только бессмысленную кашу из символов. Без ключа расшифровать не получится.
3. Никаких "вечных" сессий
У нас сессия не живёт годами. Она автоматически протухает, если вы долго не активны. Плюс при каждом входе генерируется новый идентификатор - старый сразу умирает. Угнать старую сессию - всё равно что украсть вчерашний билет в кино.
Итог:
Мы не изобретали велосипед, но сделали так, чтобы даже ленивый хакер трижды подумал, прежде чем связываться с RK-CMS. А если серьёзно - защита от перехвата сессий должна быть базовой гигиеной любого веб-приложения. Мы просто не поленились её внедрить.
Так что спите спокойно. Ваши сессии под замком.
