Cookie di autenticazione sicura per sito web

Naviga le tue risposte
1

Ciao, voglio sapere se questo token di autenticazione è abbastanza sicuro per un sito di milioni di utenti registrati: 

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

Con 10 milioni di utenti connessi quanto è difficile indovinare un token valido?

Quali caratteristiche dovrebbe avere? Considera che il contenuto del cookie viaggia su e giù per il server per ogni richiesta, quindi non può essere troppo facile

È sicuro impostare questo cookie via HTTPS ma leggerlo in ogni pagina HTTP?

    
posta user2119955 31.05.2013 - 21:40
fonte

1 risposta

3

Ecco come funziona: tendiamo a considerare 128 bit di dati casuali non percettibili. Vedi Perché tanto tempo per interrompere la crittografia a 128-bit? per parlare di questo.

Quello che vuoi fare è calcolare l'attacco di compleanno. Ci sono altre domande che parlano di questo in Quali sono le probabilità di generare la stessa chiave ssh? e Qual è la possibilità di collisione di una funzione di hashing a 128 bit se è sempre alimentata con 256 bit di dati? .

Il tuo token sembra codificato Base64, quindi fornisce 6 bit per carattere. Sono oltre 3.000 bit di dati. Codifica qualcosa di più piccolo (128 bit grezzi, 170+ in B64) e risparmia la larghezza di banda.

Per la seconda parte della tua domanda, vedi In che modo un accesso HTTPS è sicuro quando le pagine utilizzano HTTP? .

    
risposta data 31.05.2013 - 22:02
fonte

Leggi altre domande sui tag

I server delle chiavi mantengono i registri di chi aggiunge chi ai loro portachiavi? Come proteggere l'integrità dei file di risorse in un contesto di attacco white-box?