Форум PHP

Всем привет! Я переписываю один форум, ориентированный на смартфоны (малый трафик, высокое быстродействие, уменьшение медиа контента и.т.д.), столкнулся с рядом проблем. Не хочу плодить кучу тем, т.к. вопросов будет много и зачастую они будут глуповаты, поэтому, уважая администрацию, все буду писать тут. И так:

Хочу, чтобы пользователи не вводили триста раз свои данные и форум "помнил" их. Прочел раздел в вашей книге про cookie и работу с ними. Но мне подсказали, что куки можно украсть. Метод, который был описан в книге (шифрование) для форума не подходит, т.к. по-моему, это довольно длительный процесс (отн. быстродействия остального) для форума. Поэтому я думал-думал, и решил комбинировать сессии с куками. Короче говоря, хочу сделать так (далее алгоритм):

1. Юзер регится.
2. Создается кука с некторым паролем рандомно-генерируемым, пишется значение в БД для конкретного юзера.
3. Открывается сессия.

Далее, после продолжительного времени юзер заходит на форум:

5. Есть сессия? Да - разрешаем писать. Нет? идем на 6.
6. Есть кука с именем key или нет? Есть - проверяем ее с бд, открываем сессию, перезаписываем куку на новую рандомную (и в бд тоже).

Вопрос, это поможет мне защититься от взлома? Заранее спасибо всем, кто откликнется.

Помогите, пожалуйта, оч. нужна подсказка! Как по простому сделать cookie-авторизацию? Да так, чтоб безопасно было!

Я правильно понял, кука будет со случайным именем, или все таки со случайным значением?

Значением. Имя одно - key

Только для смартов хотите форум сделать? Просто количество телефонов, поддерживающих cookies почему-то очень мала. Можете посмотреть приблизительную статистику SEclub.org.
В данном случае лучше передавать SID по URL.

Unkind, насчет этого не волнуйся - с телефонами я работаю уже года так 3 и практически все современные телефоны, не говоря уже о смартфонах (хотя форум для них) поддерживают систему MIDP 2.0 и выше, а это значит, что на них пойдет браузер OperaMini, который поддерживает все необходимые функции для полноценного серфинга. Насчет SEClub - зря ты мне его в пример привел, я недавно читал, что его сломали. А насчет sid'а по url можно по-подробней?

Подниму тему... cheops, хочу услышать мнение профессионала по поводу перезаписи кук. :)

Злоумышленик если может украть cookie, то он может получить и последнюю cookie, а в то время когда законный её владель отсутствует подхватить цепочку... Лучше постараться не создавать XSS-инъекций и использовать cookie в штатном режиме.

Он получит последнюю куку, ну и что с того? Через некоторое время оригинальный юзер стукнется в форум, его выкинет на авториз, т.к. куки уже не совпали - злоумышленник при авторизе с украденными куки автоматически их перезаписал на рандомногенерируемые. Оригинальный юзер автоматически их перезапишет и злоумышленнику опять придется заново воровать куку. В конце концов ему надоест. Хотя если это куки админа...

А злоумышленик не сможет сменить пароль за время доступа к форуму?

Ну, скажем, сможет, но ему надо будет ввести старый))

Есть ли какая нибудь выгода от авторизации под чужим именем на вашем форуме? Если она не большая, можно не очень сильно замарачиваться на эту тему. Существующей защиты вполне достаточно, а желающих получить доступ к чужому аккаунту без какой-то конкретной цели очень мало...

Хех, ну во-первых не надо каждый раз авторизица - это делается много раз чаще, чем смена пароля... Что касается злоумышленников - есть такие. Если они своровав куку у админа зайдут на форум - они смогут не то что писать от него - они смогут удалять... А это куда опасней. А люди такие есть. Они ждут когда я открою форум))

Обычно, если такая агрессивная среда, то систему администрирования выводят на отдельную страницу, с отдельным не зависимым от базы данных паролем. Мы, например, поступали именно таким образом - Web-разработчики среда достаточно агрессивная - не тем, что вандалы какие-то, просто знают больше, чем обычные посетители. Поэтому воровать пароли с форума бесполезно - они ничего не значат для управления... Вам можно поступить точно также - сделать отдельную страницу (путь к которой будете знать только вы) - защитить её и управлять форумом от туда.

Немного не понятны последние два пункта в Вашей схеме авторизации пользователя. Зачем тогда сессии вообще, если Вы хотите сделать какой-то дополнительный идентификатор, который опять же дает доступ к аккаунту фактически в любое время с момента последней авторизации?
Не заморачивайтесь так c кражей cookies. Вы все-таки пишите форум для мобильных устройств и я сомневаюсь, что там найдется место для XSS.