1

шифрую сессионный идентификатор который расположен в куках следующим образом: IP + UserAgent ...

IP отпадает, так как у пользователей могут быть динамические IP, но так же отпадает и безопасность(с IP она была хоть какая-то)

Скажите, можно как-то более надежно организовать? Есть ли другие алгоритмы?

3
  • ваш вопрос явно требует доработки 8 дек 2015 в 17:14
  • Зачем шифровать токен? И если уж шифровать, то как: симметричными или асимметричными шифрами?
    – MichaelPak
    8 дек 2015 в 17:44
  • 1
    @cmd, HTTPS + HSTS ( ru.wikipedia.org/wiki/HSTS ) + куки HttpOnly + своевременно обновляемый антивирус и правильно настроенный firewall на стороне пользователя.
    – Visman
    8 дек 2015 в 17:51

1 ответ 1

1

Как написали в комментах - HttpOnly будет прекрасным решением, исключающим XSS. Простой и надежный флаг. Если же задача в том, чтобы куки не работали будучи перехваченными, можно использовать юзер агент, разрешение экрана и информацию об ОС. Часто делают привязку к региону, которому принадлежит IP

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.