niahoo a écrit :Hmmm je dirais que je donnerai à l'utilisateur une fonctionnalité du style « terminer toutes mes sessions » comme ça le problème du cybercafé est résolu.

niahoo a écrit :Si vilain_pédo, de son prénom thierry, arrive a prendre la session de bobby alors oui tu as une sacré faille de sécurité. (En considérant bien sur que bobby n'y est pour rien).

niahoo a écrit :D'autant plus si c'est son père, partageant l'IP de son fils pour allez draguer ses copines

niahoo a écrit :En fait, je considérais même comme une possibilité de pouvoir partager un compte pour jouer en coop il y a quelques jours.

niahoo a écrit :Parce que mega upload, leur comptes sont payants, vois-tu, c'est normal qu'ils chassent les multi connectés. Mais le jeu que je projette de faire sera gratuit.

Citation :En fait cela ne solutionne pas le problème, pendant que tu joues, tu laisses ta session ouverte tu peux faire plein de choses entre temps, tu ne penseras peut-être pas à te déconnecter de partout après tout, pourquoi tout fermer, comme tu joues sur plusieurs supports

Citation :Tu vas loin ... sans doute trop ... je vais prendre un cas extrême, le méchant prend le contrôle du pc et fait de vilaine chose avec, exemple du spam , tu verras dans tes logs uniquement l'IP du gentil simplet après si tu arrives à les différencier, dépose le brevet

Citation :Ici ton argument tombe à l'eau ... ce n'est pas à toi de savoir si c'est le père, le fils ou autre membre qui partage sa connexion internet, c'est au système judiciaire de s'en occuper. D'ailleurs comment pourrais-tu faire la différence ?

Citation :Cela peut-être une bonne idée, mais tu pourrais sans doute faire la même chose avec des comptes différents qui jouent sur une même partie.

niahoo a écrit :Et bien, c'est toi qui parlait d'oublier sa session ouverte dans un cyber, non ? Donc, si tu as oublié ta session ouverte, tu la fermes. Ton systeme de n'autoriser qu'une IP à la fois à le même effet, sauf qu'il est imposé.

niahoo a écrit :on peut aussi lister toutes les sessions dernièrement ouvertes et sélectionner celles qu'on veut fermer si vraiment tu tiens à laisser celle du sous-sol avec la pages qui se recharge toute seule toutes les 5 secondes ouverte.

niahoo a écrit :Ben, disons que pour poster avec le compte d'un autre joueur, le plus simple est quand-même de lui prendre sa session. (je voulais dire, se connecte avec son compte, je ne faisais pas allusion aux sessions php)

niahoo a écrit :Tu n'as pas compris. Je te disais que se baser sur l'IP pour vérifier l'identité d'un joueur je trouvais ça bancal. Premièrement parce que si tu as une faille que un pirate exploite et qu'il arrive à se connecter avec la session de bobby, bobby doit re-entrer son mot de passe à chaque fois qu'il veut faire une action.

niahoo a écrit :Et si c'est la père de bobby qui lui nique sa session, derrière la même box, alors ton systeme de vérification de l'IP devient inutile. L'exemple est plus parlant si toute une cité-U partageant la même box joue à pirater la session de bobby-le-concierge de la cité-U. Mais tu as raison de dire que c'est à la justice de se démerder, seulement ça lui fera une belle jambe à la justice de connaître l'IP dans ce cas là.

niahoo a écrit :Si c'est le pirate qui se connecte et qui prend le cookie en premier, il empêche bobby de jouer jusqu'au timeout du cookie ? Ou sinon, bobby se connecte en premier, ce qui empêche toute autre IP de se connecter par la suite, jusqu'au timeout du cookie, et dans ce cas bobby ne peut pas se connecter depuis la maison de cindy s'il a oublié de cliquer sur déconnexion ? (c'est pas un troll hein, j'y connais rien réellement)

niahoo a écrit :Peux-tu développer ? Effectivement le partage de compte ça peut rapidement devenir compliqué à gérer, surtout en cas de dispute/désaccord entre participants.

niahoo a écrit :Et enfin pour mega upload, un compte MU ça se partage bien, mais un compte MMO beaucoup moins. Si le mec se paye un super bonus en € IRL , partage son compte et se fait niquer ses objets bah tant pis pour lui non ?

Citation :> A se connecte ... il a la session
> B se connecte ... la session de A est invalidé ... B a la session

Citation :Il y en a d'autres mais j'ai un peu la flemme à les exposés.

niahoo a écrit :Hmm beau dialogue de sourds. bon j'ai un peu la flemme de continuer mais juste un truc

niahoo a écrit :Donc en gros ton framework il ne fait .. rien ? il donne la session au dernier connecté et invalide les précédentes. donc B pique la session (sans avoir le mot de passe évidemment sinon comme tu dis ce n'est pas une faille) et A (bobby, le vrai gentil) se retrouve déconnecté, et ensuite ? il retape son mot de passe toutes les 30 secondes. Ce n'est pas suffisant comme protection.

niahoo a écrit :Je trouve que lui afficher toutes ses connexions courantes – ce qui lui permet au passage de voir qu'il est encore connecté au cyber – est mieux. Dans tous les cas, et c'est ce que je disais, si le pirate est connecté il peut le voir aussi. C'est bien que la faille est ailleurs et bloquer les connexions sur les IP est inutile (dans ce cas là).

niahoo a écrit :Ou alors, comme je l'ai lu ici dans un autre topic, l'utilisateur est sur un iPhone et change d'IP à chaque requete. il envoie son mot de passe et se mange un header location vers /loginok/index, paf il change d'IP et se retrouve sur l'invite de mot de passe en boucle ?

niahoo a écrit :Non vas-y, parce que justement je base mon boulot sur un serveur Comet donc les requetes à la seconde il y en a et ce n'est absolument pas un problème. Le serveur web est prévu pour ça.

Citation :le papa et son garçon ne peuvent pas jouer en même temps ...

Citation :Comment B pourrait prendre la session de A sans avoir le mot de passe ?

Citation :En gros, toute une cité-U à 3000 personnes (oui oui, le jeu dont on parle est super populaire \o/) ne peut pas jouer en même temps ?
après si le public visé est restreint ce n'es pas un problème, mais bon, FAIL quoi.

Citation :mais tu esquives ma question: si un mec chope sa session, alors ton gentil user doit retaper son mot de passe à chaque fois ?

Citation :ben justement, c'est çà les failles dont on parle. S'il ne peut pas voler de session ça sert à rien chercher à faire de la protection, celle-ci est déjà 100% finie et là tu te contentes effectivement de loguer les IP de connexion.

Citation :Pour le serveur web je sais qu'il encaisse facilement 50000 connexions sans broncher. Apres faut avoir le matos qui suit derrière, mais dans une optique de lancement avec 100 users max je pense que je suis tranquille avec un VPS à 1 Go/s trèèèès largement.
Le seul problème c'est le serveur du jeu qui lui doit assurer aussi bien que le serveur web et là c'est moi-même qui le code donc c'est pas gagné du tout

Citation :J'avais déjà répondu, il me semble, oui il se connectera de nouveau en invalidant la session du pirate après si le pirate lui a volé son mot de passe, il ne reste qu'à l'utilisateur la méthode du mot de passe perdu qui en généra un nouveau mot de passe.