Ho un sito web (per hobby) che funziona solo su SSL (ad es. HTTPS a livello di sito). Il sito non tratta di finanze, numeri di previdenza sociale o altro di quel livello di importanza. Tuttavia, mi piacerebbe assicurarlo il più ragionevolmente possibile. Quando un utente effettua l'accesso, vengono scritti due cookie: un cookie memorizza l'id utente e un secondo memorizza un ID sessione. I cookie sono contrassegnati come Secure e HttpOnly.
Ho una directory in cui mi piacerebbe che tutti gli utenti registrati potessero accedere ai file. Mi sembra che un modo per ottenere questo risultato sia utilizzare .htaccess nella directory della chiave per vedere se esiste un cookie valido per l'utente-id: in tal caso, concedere l'accesso, ma in caso contrario, reindirizzare alla pagina di accesso. In questo modo, non ho bisogno di continuare ad aggiornare i valori legali per il cookie o di avere un sovraccarico nel controllo dell'accesso.
Ho trovato il seguente codice per .htaccess:
RewriteEngine On
RewriteBase /
RewriteCond %{HTTP_COOKIE} !^.*cookie-name.*$ [NC]
RewriteRule .* /login-error/set-cookie-first.html [NC,L]
e tutto funziona perfettamente: quando si accede come utente registrato (ad esempio, quando c'è un cookie chiamato cookie-name) ottengo l'accesso alla directory; quando non effettuato l'accesso, sono reindirizzato alla pagina di accesso.
Tuttavia, mi chiedo: quali problemi di sicurezza ho trascurato? Ad esempio, è possibile che un utente malintenzionato crei un cookie con il nome corretto nel browser dell'hacker e poi pensi che il mio sistema sia un vero cookie?