Il token cookie remember_user_token generato dal componente di autenticazione Ruby Devise rivela parte di una credenziale salata di bcrypt quando decodificato.
Ad esempio:
remember_user_token=W1sxNF0sIiQyYSQxMSRtSHhGeWd3VkFNdzdxd3VmUE04MWdPIiwiMTUyMTA4NjEzMy4wOTU3Il0%3D--96341f2abb8e9fa777d9ad5199b2231f3d22e1d7
Decodifica in:
[[14],"$2a$11$mHxFygwVAMw7qwufPM81gO","1521086133.0957"]
La seconda parte di questa tupla è la credenza di bcrypt fino al sale.
Dato che la parte della password hash è stata omessa, credo che il recupero della password non sarebbe fattibile. Tuttavia, questo non sembra una buona pratica e non sono chiaro sul perché questa funzione è stata progettata per rivelare anche una parte delle credenziali con hash dell'utente.
Quali sono alcuni scenari in cui queste informazioni possono aiutare un utente malintenzionato a ottenere l'accesso non autorizzato all'applicazione?
Codice sorgente di seguito: