Come implementare la codifica della macchina quando si consente a un utente di "ricordarmi di me" sull'applicazione web? [duplicare]

0

Il ricordami biscotto dovrebbe identificare anche la macchina. Quindi, implementando la codifica della macchina, eviteremo una situazione in cui un utente malintenzionato tenta di accedere con il cookie dell'utente da un'altra macchina. Significa che, creando un meccanismo di codifica della macchina per ricordarmi di me, dovresti invalidare l'accesso associato a un cookie su una macchina diversa.

Qual è il modo migliore per implementare la codifica della macchina quando si consente a un utente di "ricordarmi di me"?

Inoltre, quali informazioni useresti esattamente per etichettare la macchina? Immagino che non sia sufficiente che questa informazione sia unica; deve anche essere inaccessibile a un avversario,

Questa domanda non si riferisce a capire in che modo proteggere al meglio la sessione ma a considerare la conservazione a lungo termine / persistente con i parametri di identificazione dei caratteri della macchina utente.

    
posta SecQuestionnA 22.08.2018 - 12:23
fonte

1 risposta

1

Il problema nel chiedere a una macchina di identificarsi è che può mentire . Se un utente malintenzionato può rubare un cookie, è probabile che possano scoprire anche tutte le informazioni necessarie per impersonare quella macchina.

L'unica eccezione (parziale) a questo è l'indirizzo IP, ma quando si lega un cookie a un indirizzo IP si rischia di annoiare gli utenti quando il loro indirizzo IP cambia. Sfortunatamente, cambiare gli indirizzi IP è abbastanza comune per smartphone o laptop, e può anche accadere regolarmente per un desktop a seconda dell'ISP. Gli indirizzi IP possono anche essere condivisi da più utenti, quindi questa soluzione non è efficace al 100%. Questo è un compromesso tra usabilità e sicurezza, quindi la decisione dipenderà dall'applicazione.

Nella maggior parte dei casi un cookie con i flag Secure e HttpOnly è sufficiente.

    
risposta data 22.08.2018 - 20:02
fonte

Leggi altre domande sui tag