Hola, estoy intentando crear un sistema seguro en php. La idea está en que solo puedes acceder a la web si ingresas en tu cuenta (Que tiene un nombre de usuario y una contraseña).
El scrip consta de un archivo "index.php" que contiene la autentificación de los usuarios y se encarga de cargar el resto de scripts de la carpeta "/phpscripts" que contiene la web que se mostrará una vez autentificado el usuario.
La carpeta "/phpscripts" está protegido contra el accesso a la carpeta mediante htaccess, con lo que la única forma de ejecutar dichos scripts es estando autentificado e incluidas desde el "index.php".
La autentificación se hace mediante 3 cokies (1x NOMBRE DE USUARIO y 2x NUMEROS MD5 AL AZAR QUE SE GENERAN CADA VEZ QUE UN USUARIO SE LOGUEA Y SE GUARDA EN LA BASE DE DATOS MYSQL)
Solo puede haber un usuario logueado una vez en un equipo (es decir, no pueden haber dos ordenadores distintos logueados en la misma cuenta).
El script comprueba el nombre de usuario y los dos hasches y si coinciden con los de las cokies entonces deja cargar la página (ej: "index.php?pagina=blog")
PROBLEMAS: Si algún atacante remoto consigue el contenido de las 3 cokies puede acceder al sistema facilmente.
Hay alguna forma de conseguir un sistema que sea algo más seguro contra un ataque de éste tipo? Teniendo en cuenta que no uso servidor que permita conexiones shtml.
Usar sesiones es más seguro? O hay alguna forma de hacer el sistema mas seguro?
P.D: Si hay forma más segura, no es preciso tampoco que se limite a un ordenador, pero sería preferente.
Alguien me puede dar algunos consejos o ejemplos de hacer algún sistema más seguro en php???
Un saludo.