¿Reutilizar la misma ID de sesión es necesariamente mala?

Rodar su propio sistema de gestión de sesiones es extremadamente peligroso, porque muchas cosas pueden salir mal con una sesión . En PHP solo debes usar session_start() y el $_SESSION superglobal.

Al usar el mismo Id. de sesión cada vez que el usuario inicia sesión, no tiene sentido cambiar su contraseña. Hay un token que siempre permite el acceso. Un atacante podría comprender esta sesión con XSS, o debido a una Seguridad de Capa de Transporte Insuficiente, y luego siempre tendrá acceso al sistema.

El uso de la misma sesión para cada usuario anula el propósito, si necesita un estado global, use una base de datos

De acuerdo con Rook, sin embargo, él / ella no señala por qué su propuesta tiene fallas intrínsecas cuando invalida el estado autenticado de la sesión.

Esto crea al menos una vulnerabilidad específica: el ID de sesión ahora es predecible. Considere: Alice usa el sistema del cliente A: después de cerrar la sesión, es posible que haya marcado la sesión como no validada, pero el token de la sesión aún puede recuperarse de este cliente. Chuck aparece y extrae el ID de sesión del cliente A. No puede acceder al sistema porque la sesión está marcada como no autenticada. Pero luego Alice vuelve a iniciar sesión desde el cliente B: la sesión ya no está bloqueada y Chuck tiene acceso gratuito.

  

¿Qué tal si se utiliza la misma ID de sesión para todos los usuarios?

¡¡¡WTF ??? !!!!

Entonces no es un ID de sesión.