29.01.2012, 17:10
|
|
Профессор
|
|
Регистрация: 25.12.2011
Сообщений: 786
|
|
|
У меня вопрос про безопасность и cookies
Если человек залогинился его имя и пароль нужно сохранить ему в cookies и чтобы он при каждой попытке зайти на сайт отправлял нам их браузером автоматически и мы бы сразу знали что он залогинен.
Но эти куки можно украсть у человека, за сунуть их к себе в браузер и сидеть на сайте так, как будто ты - он.
По этому нужно как то зашифровать пароли в cookies, а так же привязать их к определенному браузеру и определенной машине.
Можно сделать так, что на сервере при логинивании будет генерится хеш и именно он и будет засовываться в куки. а потом по нему можно идентефицироваться.
Я же хочу собирать данные о машине и браузере, передавать их на серв, там генерить хеш, и уже его засовыать в куки.
А как делаете вы обычно?
|
|
29.01.2012, 17:16
|
 |
Модератор
|
|
Регистрация: 27.04.2010
Сообщений: 3,417
|
|
|
|
|
29.01.2012, 17:25
|
|
Профессор
|
|
Регистрация: 25.12.2011
Сообщений: 786
|
|
|
что мне помешает использовать куку друга в своем браузере?
|
|
29.01.2012, 17:33
|
|
Аспирант
|
|
Регистрация: 28.04.2011
Сообщений: 73
|
|
|
Ребят, кука сама по себе не безопасна, её легко стырить )
Как вариант - генерить хеш с участием IP.
Вот кстати интересно как том же ВК делается? )
|
|
29.01.2012, 17:33
|
|
Модератор
|
|
Регистрация: 27.04.2010
Сообщений: 3,417
|
|
|
Livaanderiamarum, ничто не помешает. От тырки кук никто не застрахован.
|
|
29.01.2012, 17:57
|
|
что-то знаю
|
|
Регистрация: 24.05.2009
Сообщений: 5,176
|
|
|
лично я хеш генерю исходя из:
имени пользователя, текущего пароля (тоесть хеша пароля), дополнительный внутренний ключ ( passkey ), идентификатора пользователя.
По принципу получается как в вконтакте, авторизовываем всем и везде. Но в настройках личного кабинета, можно выполнить выход из всех браузеров. Тоесть если я у друга дома зашел в свой акк. и забыл выйти, то придя домой я легко могу выполнить выход из его браузера.
|
|
29.01.2012, 18:00
|
|
Особый гость
|
|
Регистрация: 02.04.2010
Сообщений: 4,260
|
|
|
Сообщение от devote
|
|
имени пользователя, текущего пароля (тоесть хеша пароля), дополнительный внутренний ключ ( passkey ), идентификатора пользователя.
|
Еще нужно IP добавить |
|
29.01.2012, 18:02
|
|
что-то знаю
|
|
Регистрация: 24.05.2009
Сообщений: 5,176
|
|
|
Сообщение от monolithed
|
|
Еще нужно IP добавить
|
Да но тогда пользователя выкидывать будет после каждого его реконекта, в случае если у него динамический ИП, поэтому добавление ИП обычно оговаривается/решается с заказчиками. Не каждый заказчик захочет иметь сайт где пользователя выкидывает при смене ИП. |
|
29.01.2012, 18:39
|
|
Профессор
|
|
Регистрация: 25.12.2011
Сообщений: 786
|
|
|
Ты учитываешь данные из юзерагента?
Так же интересно как боритесь с переходами по вредоносным ссылкам эмитирующими действия пользователя
|
|
29.01.2012, 19:34
|
|
Аспирант
|
|
Регистрация: 28.04.2011
Сообщений: 73
|
|
Сообщение от devote
|
лично я хеш генерю исходя из:
имени пользователя, текущего пароля (тоесть хеша пароля), дополнительный внутренний ключ ( passkey ), идентификатора пользователя.
|
Доп. ключ - для разделения где он зашел (дом, работа, друг) ??? |
|
|
|
