User-Auth Single Server oder Disabled

    Hallo,


    bei der Session authentication kann ich ja SingleServer (bzw MultiServer) bzw Disabled wählen.


    Bei Single und Multi werden ja während der Session Cookies genutzt. bei Disabled nicht.


    Gibt es irgendwelche (Sicherheitsrelavanten) Gründe, die für oder auch gegen die Cookie sprechen?


    Gruß
    Falko

    Nutzt Du SSL ? Wenn ja solltest Du Single oder Multi-Auth. benutzen, da Du dann das Kennwort schon verschlüsselt übertragen lassen kannst. Das geht bei Disabled nicht.


    Für oder gegen Cookies spricht nur die eigene Meinung. Ich habe bei mir Single-Server AUth an und verwendet zur SSL-Authentifikation X509-Zertifikate oder, wenn kein Zertifikat vorhanden, Benutzername und Kennwort.

    Hallo Bastian,


    ja, wir nutzen SSL.
    Dann werde ich es aug SingleServer umschalten - dann kann man wenigstens auch die Anmeldemaske ans CoporateDesign anpassen ;)


    Danke


    Gruß
    Falko

    Zitat

    Nutzt Du SSL ? Wenn ja solltest Du Single oder Multi-Auth. benutzen, da Du dann das Kennwort schon verschlüsselt übertragen lassen kannst. Das geht bei Disabled nicht.


    Ist so leider nicht korrekt, selbstverständlich kann man für die Authentifizierung via "Basic Authentication" (so nennt man die herkömmliche Form wenn Session Authentication disabled ist) SSL verwenden. Man muß lediglich dafür sorgen, daß die URL für die die Authentifizierung gewünscht wird, bereits auf https verweist ;=)

    Bei disabelted Session authentication wird dar Benutzername und das Kennwort über eine Dialogbox abgefragt, die NICHT SSL-verschlüsselt üertragen wird, sofern nicht VORHER auf einer Datenbank per anonymen SSL gearbeitet wird.


    Wenn z.B. die Ziel-DB SSL anfordert, man aber keine Session authentication aktiviert hat, wird erst NACH erfolgter Benutzerauthentifizierung (also nach Eingabe und Senden des Benutzernamens und des Kennwortes über die Dialogbox) der Datenverkehr verschlüsselt. Name und Kennwort gehen KLARTEXT über die Leitung (so getestet mit 5.0.11 und 6.0.2CF1) . Prüf das mal mit Ethereal o.ä.