Bezpečné přihlašování interní PHP aplikace

Zdravím, rád bych znal názor zkušených PHP programátorů. Pro vnitřní potřebu organizace (cca 50 uživatelů) vytvářím php aplikaci na přihlašování různých událostí (školení, firemní akce). Já sám jsem samouk PHP, ale protože aplikace má mít určitá specifika (odesálání událostí a schůzek do kalendáře MS Outlook) a technicky by to nemuselo být složité tak jsem se rozhodl, že to napíšu sám. Teď k předmětu.

Uživatelé se přihlašují a ověřují do aplikace oproti Windows doméně (to velmi dobře funguje, až mě překvapilo jak dobře :)). Poté pokud je ověřen, jsou do databáze vloženy/aktualizovány údaje z AD (jméno, příjmení, mail, Username) a dále session ID a čas.

Na každém souboru mám na začátku "include", které zkontroluje, zda jeho aktuální session ID odpovídá té v databázi a zda čas uložený v databázi není větší o "nějakou dobu" než skutečný čas a pokud vše sedí v databázi se uživateli aktualizuje čas na nyní a zobrazí se mu obsah stránky.

Chtěl bych znát Váš názor, jak moc bezpečný je tento způsob přihlašování a jak moc je toto náročné na databázi, případně jak byste to řešili Vy. Vyvstanul zde totiž požadavek, "vystrčit" aplikaci Ven, aby se mohli přihlašovat i mimo firmu.

Děkuji za Názory

Díky za odpověď. Hezký seriál. Škoda, že jsem o něm nevěděl dříve. Nicméně technologie přihlašování funguje. DOS a Brute Force by měl řešit řešit Juniper, co máme (resp. budeme mít) na vstupu do sítě. Navíc to, že to bude vystrčené ven neznamená přímé přesměrování, ale veřejná IP je na poskytovatele, který to přes brány a firewally předává k nám na základě rozkladu adresy (www.neco.cz/firma/jakési_ID/sluzba) kde je další hardwarový firewall a teprve poté se to dostává na softwarový router a následně hardwarový router. Nicméně asi to stejně nakonec nedám ven, protože si uživatelé ještě vybrečeli emailové upozornění, tak teď testuji posílání meetingu do Exchange/Outlooku (ical) a tohle prostě ven nedám.