À quel point l'identifiant de session PHP est-il unique

Dans quelle mesure l'identifiant de session php est-il unique? J'ai eu l'impression d'après diverses choses que j'ai lues que je ne devrais pas compter sur deux utilisateurs qui n'obtiennent jamais le même identifiant de session. N'est-ce pas un GUID?

Session_id peut en effet être dupliqué, mais la probabilité est très faible. Si vous avez un site Web avec un trafic équitable, cela peut arriver une fois dans la vie de votre site Web et ne fera qu'ennuyer un utilisateur pendant une session.

Cela ne vaut pas la peine de s'en soucier, sauf si vous prévoyez de créer un site Web à très fort trafic ou un service pour le secteur bancaire.

Ce n'est pas très unique tel qu'il est expédié. Dans la configuration par défaut, c'est le résultat d'un hachage de diverses choses, y compris le résultat de gettimeofday (qui n'est pas terriblement unique), mais si vous êtes inquiet, vous devez le configurer pour tirer une certaine entropie de / dev / urandom, comme ceci

ini_set("session.entropy_file", "/dev/urandom");
ini_set("session.entropy_length", "512");

recherchez "php_session_create_id" dans le code de l'algorithme qu'ils utilisent.

Modifié pour ajouter: il existe un générateur de nombres aléatoires DFA prédéfini par le pid, mélangé avec le temps en usecs. Ce n'est pas une condition d'unicité ferme, en particulier du point de vue de la sécurité . Utilisez la configuration d'entropie ci-dessus.

Mettre à jour:

Depuis PHP 5.4.0, session.entropy_file prend par défaut / dev / urandom ou / dev / arandom s'il est disponible. En PHP 5.3.0, cette directive est laissée vide par défaut. Manuel PHP

Si vous voulez savoir comment PHP génère un identifiant de session par défaut, consultez le code source sur Github . Ce n'est certainement pas aléatoire et est basé sur un hachage (par défaut: md5) de ces ingrédients (voir la ligne 310 de l'extrait de code):

1. Adresse IP du client
2. Heure actuelle
3. Générateur de congruence linéaire PHP - un pseudo générateur de nombres aléatoires (PRNG)
4. Source aléatoire spécifique au système d'exploitation au système d'exploitation - si le système d'exploitation a une source aléatoire disponible (par exemple / dev / urandom)

Si le système d'exploitation a une source aléatoire disponible, la force de l'ID généré dans le but d'être un ID de session est élevée ( / dev / urandom et les autres sources aléatoires du système d'exploitation sont (généralement) des PRNG sécurisés par cryptographie ). Si toutefois ce n'est pas le cas, c'est satisfaisant.

L'objectif de la génération d'identification de session est de:

1. minimiser la probabilité de générer deux ID de session avec la même valeur
2. rendre le calcul très difficile pour générer des clés aléatoires et en frapper une en cours d'utilisation .

Ceci est réalisé par l'approche PHP de la génération de session.

Vous ne pouvez pas absolument garantir l'unicité , mais les probabilités de frapper deux fois le même hachage sont si faibles que cela ne vaut généralement pas la peine de s'inquiéter.

Vous pouvez installer une fonction alternative de génération de hachage si vous souhaitez personnaliser la façon dont l'ID est généré (c'est un nombre de 128 bits généré via MD5 par défaut). Voir http://www.php.net/manual/en/session.configuration.php#ini.session.hash-function

Pour plus d'informations sur les sessions PHP, essayez cet excellent article http://shiflett.org/articles/the-truth-about-sessions qui renvoie également à d'autres articles sur la fixation de session et le détournement.

Taille de session_id
Supposons que seeion_id est uniformément distribué et a une taille = 128 bits. Supposons que chaque personne sur la planète se connecte une fois par jour avec une nouvelle session persistante pendant 1000 ans.

num_sesion_ids  = 1000*365.25 *7*10**9 < 2**36
collission_prob < 1 - (1-1/2**82)**(2**36)  ≈ 1 - e**-(1/2**46) 
                ≈ 1/2**46 

Ainsi, la probabilité d'une ou de plusieurs collisions est inférieure à une sur 70 000 milliards. Par conséquent, la taille de 128 bits de session_id devrait être suffisamment grande. Comme mentionné dans d'autres commentaires, le session_manager peut également vérifier que le nouveau session_id n'existe pas déjà.

Aléatoire
Par conséquent, la grande question que je pense est de savoir si les session_id: s sont générés avec un bon pseudo-aléatoire. Sur cela, vous ne pouvez jamais être sûr, mais je recommanderais d'utiliser une solution standard bien connue et fréquemment utilisée à cette fin (comme vous le faites probablement déjà).

Même si les collisions sont évitées en raison de la vérification, le caractère aléatoire et la taille de session_id sont importants, de sorte que les pirates ne peuvent pas, d'une manière ou d'une autre, faire des suppositions qualifiées et trouver des session_id: s actifs avec une grande probabilité.

Je n'ai pas trouvé de confirmation à ce sujet, mais je crois que php vérifie si un identifiant de session existe déjà avant d'en créer un avec cet identifiant.

Le problème de piratage de session qui inquiète les gens est celui où quelqu'un découvre l'identifiant de session d'un utilisateur actif. Cela peut être évité de plusieurs façons, pour plus d'informations, vous pouvez voir cette page sur php.net et cet article sur la fixation de session

Non, l'ID de session n'est pas un GUID, mais deux utilisateurs ne doivent pas obtenir le même ID de session car ils sont stockés côté serveur.

<?php
session_start();
$_SESSION['username']="username";
?>

<!DOCTYPE html>
<html>
<head>
    <title>Update</title>
</head>
<body>

<table border="2">
    <tr>
        <th>Username</th>
        <th>Email</th>
        <th>Edit</th>
    </tr>
<?php
     $conn=mysqli_connect("localhost","root","","telephasic");
     $q2="select * from register where username = '".$_SESSION['username']."'";
     $run=mysqli_query($conn, $q2);
     while($row=mysqli_fetch_array($run))
     {
         $name=$row[1];
         $email=$row[2];
     ?>

    <tr>
        <td><?php echo $name; ?></td>
        <td><?php echo $email; ?></td>
        <td><a href="edit.php"> Edit </a></td>
    </tr>
 <?php } ?>
 </table> 
 </body>

si votre nom d'utilisateur est différent ou unique, vous pouvez utiliser ce code pour la session