Araştırdım GSM operatörleri de buna benzer bir yöntem kullanıyor. Cep telefonuzu açtığınızda baz istasyonu ile telefonunuz arasında böyle bir session-key yerleşiyor ve 10-15 dakika geçerli kalıyor. Böylece takibi bizzat operatör yapmadıkça imkansıza yakın hale geliyor.
Daha öte görüşleri olan varsa beklerim, bunlar benim araştırma ve düşüncelerimin sonuçları
Gsm operatörleri baz istasyonlarda bu yöntemi mi kullanıyorlar? Telefon baz istasyonu işlemlerinde belirleyici olan 32 byte ki kodudur. Bir sim kartta 2 kod vardır biri KI (key index) kodu diğer IMSI kodu. IMSI kodu abonelik bilgileri ile ilgili kayıtları tutar. Ama bu IMSI kodunun geçerli olması için authentication KI kodu ile yapılır. Her kartın IMSI ve KI kodunun eşleşmesi gerekmektedir. Ve KI kodu doğrudan telefondan talep edilmez KI algoritmayı yöneten bir anahtardır şebekeden gelen sorguya uygun yanıtı üreten anahtardır.
Yani GSM operatörlerinde baz istasyonu tarafından çok gsm alıcı taraflı bir güvenlik mevcut. KI ve IMSI kodunu bulabildiğiniz her hattı kopyalayabilirsiniz ve aynı KI ve IMSI kodunu kullanan 2 telefon aynı anda açıldığında sadece en son açılan çalışır.
Yani senin gsm baz istasyonu mantığından farklı geldi bana...
Diğer konularda haklısın. Sessionı onaylayan istemci taraflı bir güvenlik sertifikası olmadığı sürece (kullanıcı taraflı bir SSL sertifika gibi GSM deki KI kodu misali) session gerçek kullanıcıya mı ait çalınmış mı anlamak zor.
Sadece dediğin gibi ip adresi kullanıcı adi ve session ı eşleyip, tutarsızlıkta işlemi engelleyen ve 5-10 dakika içinde yeni sayfa talebi olmazsa sessionı kapatan bir sistem faydalı olabilir.