סימן זיהוי למשתמש
 

שלום,
האם יש סימן זיהוי לכל מחשב כמו אייפי אך לא אייפי?
זה למערכת העלאת תמונות, אני רוצה שהמערכת תזהה משתמש אך לא לפי אייפי מכיוון שאייפי משתנה כל כמה זמן..

MAC למרות שגם אותו ניתן לזייף או אם משתמשים לדוגמה במחשב נייד
יש 2 כרטיסי רשת-קווי ואלחוטי

יש המון דרכים נוספות שדרכן תוכל לזהות משתמשים.
ביניהן flash cookies, http (regular) cookies, localstorage וכו'.

ובכל זאת, את כולם ניתן לשנות/ להסיר.

אם אתה רוצה זיהוי אידיאלי, תשלב מערכת משתמשים וזהו.
אם אתה רוצה זיהוי פשוט שלא צורך הרשמה, אלו חלק מהפתרונות הקיימים.

אין לך דרך ממש לעשות זאת בלי מערכת משתמשים,
אבל אתה יכול לשמור אייפי + עוגייה במחשב, זה יספיק לך לדעתי..
הסיכוי שאותו אייפי יפול על שני גולשים באתר שלך ממש ממש ממש קלוש ובכמעט באותה רמה כמו שגוגל יהיה שלי בחינם ..

תודה על התגובות ,
אני דווקא הסתכלתי על הצד שאייפי משתנה ברגע שהבן אדם מנתק את האינטרנט ולווא דווקא על זה שאותו האייפי ייפול על אותו בן אדם.

כמו כן, הבנתי שהקוקיס פריץ ולא ממש מאובטח, ואפילו יכול לעשות משו זדוני, או שמא אני טועה?

כמו כן,
באיזה אחת מהשיטות הנ״ל עדיף להשתמש? בין אם זה יותר נוח לתכנות בין אם זה ״מאובטח״ יותר ובין אם זה הכי טוב( ״יישמר״ הכי הרבה זמן?

קוקיז נמחק יותר בקלות מאשר שינוי אייפי, וקוקיז אפשר לגנוב אבל זה לא משהו בעייתי אם אתה מאבטח אותם כמו שצריך

כן אך בנושא הקוקיז המשתמש בוחר אם למחוק אותם או לא, משמע יש לו אפשרות שלא.
באייפי אין לו שליטה.

מערכת משתמשים הינה האפשרות האמינה ביותר.

זה ברור לי,
אך בכל זאת?

אם יש משהו שאולי יעזור לך, זה כנראה יהיה -
http://samy.pl/evercookie

אכן אחד הפתרונות היותר טובים שיש כיום.

משהו נוסף מעניין לציין בנושא זיהוי משתמשים ללא מערכת משתמשים:
אפשר לבצע זיהוי מאוד ייחודי של משתמש על סמך ה-user agent שלו.
יש פה אתר מעניין שמתאר כמה ייחודי ה-user agent של הגולש בו - http://panopticlick.eff.org/

ועוד פוסט מעניין מ-SO שדן בסוגיה הזאת בדיוק

למשל אם אתה עושה לפי כתובת האיפי, אני לדוגמא לקוח של גולן טלקום, האיפי כל שניה מתחלף... (אפילו לאתר של הבנק אני לא יכול להתחבר בגלל זה)

האמת שזה גם בעיה הפוכה - שיש יותר ממשתמש אחד על אותו הIP

אין זיהוי וודאי ותמיד יהיה אפשר לזייף, אבל יש דרך באינטרנט אקספלורר אפשר לזהות גולש לפי Mac וזאת שיטת זיהוי מאוד חזקה, הבעיה שזה דורש אישור של ActiveX ולא תומך בדפדפנים אחרים חוץ מאקספלורר.

השיטה הכי יעילה בשבילך היא ever cookie ששמו פה... זה כולל עוגיית פלאש, וכשמוחקים עוגיות מהדפדפן זה לא מוחק עוגיות פלאש - מעטים האנשים שמוחקים אותן וככה כמעט ולא יעקפו לך את המנגנון הזה.

מדהים לראות את הידע פה.
ידוע שכמעט כל מערכת אפשר לפרוץ ולהשתמש בא בזדון,
האם גם פה, בever cookie,יהיה אפשר לפרוץ למערכת?לעשות משהו זדוני?

באמצעות evercookie כשלעצמו לא ניתן "לפרוץ" למערכת.
האם ניתן יהיה "לפרוץ" למערכת באמצעות המידע שתקבל מהמנגנון הזה? זה תלוי בצורה שתעבוד איתו ובמה שתעשה בו.

לכל קלט שמתקבל מהמשתמש לרבות הקלט המתקבל מהמנגנון הזה (שהמנגנון למעשה מקבל אותו מהמשתמש) יש להתייחס בחשדנות ולבצע בו בדיקות וסינונים רלוונטים.

מה שever cookie עושה זה לשמור את העוגיה בהמון דרכים שונות (עוגיית פלאש, local storage, עוגיה רגילה, עוגיית Silverlight ועוד.. אפשר למצוא רשימה מלאה באתר שלהם)

ואז אם תמחק עוגיות מהדפדפן אבל לא תמחק עוגיות פלאש - בפעם הבאה שתכנס לאתר הוא יזהה שמחקת את העוגיות הרגילות (הוא יזהה אותך לפי העוגיית לפלאש למשל) ויצור מחדש את העוגיות שמחקת

אם תמחק את כל סוגי העוגיות, הchache, היסטוריה וכו' שever cookie משתמש בו ותשנה אייפי - האתר לא יזהה אותך

מבחינת אבטחת מידע זה זהה לשימוש בעוגיה רגילה, אם תעשה בזה שימוש נכון לא יהיו בזה חורי אבטחה :)

האמין ביותר הוא כתובת פיזית(MAC) אבל לWEB אין גישה לקרוא אותו.
כמו שחבריי אמרו כאן במקרה הזה מערכת משתמשים היא הפתרון הכי אמין שיכול להיות לך.

אפשר לקרוא אותו באקספלורר (דורש אישור ActiveX)

ואני חושב שיש אפשרות גם עם Java (זה אני כבר ממש לא בטוח, זכור לי משהו כזה)

וגם זה לא כ"כ אמין אפשר לזייף את זה בקלות

לא כל משתמש יודע להפעיל פקד ActiveX,
ולא לכל משתמש יש את הסביבה של JAVA במחשב,
אתר העלאת תמונות דורש מהירות מריבית.

אני יודע שאפשר להשיג את כתובת הMAC דרך JAVA.

ולא ניתן לזייף כתובת MAC,
כתובת הMAC צרובה על גבי כרטיס הרשת שלך,
אתה מוזמן לבדוק את זה.

מבחינת תמיכה ומהירות אני יכול להגיד אותו הדבר הל פלאש. עושים בדיקה, אם מותקן אז יש דרך זיהוי נוספת, לעוד לחזק את היכולת זיהוי שלך.

ומבחנת זיוף כתובת Mac - יצא לי לזייף את הכתובת הזאת אצלי במחשב כ"כ הרבה פעמים. אני בטוח שאפשר לזייף במחשב עצמו, אבל אני אישית עשיתי את זה על VM.

ניתן לזייף...