0

Задумался над авторизацией в сети посредством cookie. Есть сайт с множеством пользователей. Схема авторизации такая:

  1. Смотрим есть ли cookie с заданным именем, например userID.
  2. Если есть то находим в базе пользователя с таким ID и осуществляем вход.
  3. Иначе просим логин и пароль и cookie кладем пользователю.

Тут, как я понимаю, дыра в безопасности: если человек сменит себе cookie на другой номер сам, то зайдет как администратор? Для этого нужно класть ключ, который сложно подобрать, а не чистый ID, так?

Другой вариант - работать через сессии (на php). Тогда все данные хранятся на сервере, за исключением ID сессии, которая тоже в cookie. Если подобрать его, то можно так же зайти под другим ником?

Вообщем, хотелость бы узнать есть ли правила более менее безопасной авторизации в сети + существует ли какое ПО для тестирования уязвимостей? Браузер там специальный с открытыми cookie и анализом http запросов, ну или что-то подобное.

1 ответ 1

2

Насчет надежности сессий php не знаю - с виду они случайны и подобрать такое длинное число проблематично. В куку спокойно можно положить и имя пользователя и его id для быстрого поиска. И дополнить это дело каким нибудь хешем. Ну скажем берем на сервере строку "Пользователь|id|секретный-ключ" получаем с этой строки md5 и кладем в куку "Пользователь|id|md5". Для проверки валидности куки достаточно подстваить к началу пришедшей куки опять свой ключ и собрать md5. Единственное узкое место в схеме - если кто то раз увидит исходники и узнает секретный ключ, то сможет создать любую куку.

Ну и достаточно надежный вариант - собственно как работает php и многие другие - генерим длинное случайное число и кладем в куку его и пишем его на сервере куда то в связке уже с пользователем и чем там еще для сессии надо.

Первый вариант удобен тем, что хранить ничего не надо на сервере и можно быстро понять валидность пришедшего.

P.S.: Еще можно добавить в хранимую инфу или сборку md5 ip пришедшего, тогда перехват куки мало что даст атакующему, с другого хоста ей воспользоватся нельзя, но минус - если у пользователя динамический ip и он сменится - то обрыв сессии, это может напрягать.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.