วิธีที่ดีที่สุดในการติดตั้ง“ จดจำฉัน” สำหรับเว็บไซต์คืออะไร [ปิด]

ฉันต้องการให้เว็บไซต์ของฉันมีช่องทำเครื่องหมายที่ผู้ใช้สามารถคลิกเพื่อที่พวกเขาจะไม่ต้องเข้าสู่ระบบทุกครั้งที่พวกเขาเยี่ยมชมเว็บไซต์ของฉัน ฉันรู้ว่าฉันจะต้องเก็บคุกกี้ไว้ในคอมพิวเตอร์เพื่อใช้งานสิ่งนี้ แต่สิ่งที่ควรมีอยู่ในคุกกี้นั้น

นอกจากนี้ยังมีข้อผิดพลาดทั่วไปในการระวังไม่ให้คุกกี้นี้แสดงจุดอ่อนด้านความปลอดภัยซึ่งสามารถหลีกเลี่ยงได้ในขณะที่ยังคงให้ฟังก์ชัน 'จดจำฉัน'

ปรับปรุงการเข้าสู่ระบบคุกกี้ถาวรแบบฝึกหัดที่ดีที่สุด

คุณสามารถใช้กลยุทธ์นี้ที่อธิบายไว้ที่นี่เป็นแนวทางปฏิบัติที่ดีที่สุด (2006) หรือกลยุทธ์ที่ปรับปรุงที่อธิบายไว้ที่นี่ (2015):

1. เมื่อผู้ใช้ประสบความสำเร็จในการเข้าสู่ระบบด้วยจดจำฉันตรวจสอบคุกกี้เข้าสู่ระบบจะออกนอกจากคุกกี้การจัดการเซสชั่นมาตรฐาน
2. คุกกี้เข้าสู่ระบบมีตัวระบุชุดและโทเค็น ซีรีส์และโทเค็นเป็นตัวเลขสุ่มที่ไม่สามารถคาดเดาได้จากพื้นที่ขนาดใหญ่ที่เหมาะสม ทั้งสองถูกเก็บไว้ด้วยกันในตารางฐานข้อมูลโทเค็นถูกแฮช (sha256 ใช้ได้)
3. เมื่อไม่ใช่เข้าสู่ระบบในผู้ใช้เข้าชมเว็บไซต์และนำเสนอเข้าสู่ระบบคุกกี้ชุดตัวระบุจะเงยหน้าขึ้นมองในฐานข้อมูล
   1. หากระบุชุดเป็นปัจจุบันและกัญชาของโทเค็นการแข่งขันแฮสำหรับชุดตัวระบุว่าผู้ใช้จะได้พิจารณารับรองความถูกต้อง มีการสร้างโทเค็นใหม่แฮชใหม่สำหรับโทเค็นจะถูกเก็บไว้เหนือเรคคอร์ดเก่าและมีการออกคุกกี้การเข้าสู่ระบบใหม่ให้กับผู้ใช้ (ไม่สามารถใช้ตัวระบุซีรี่ส์ซ้ำได้)
   2. ถ้าชุดเป็นปัจจุบัน แต่โทเค็นไม่ตรงกับที่มีการโจรกรรมจะถือว่า ผู้ใช้จะได้รับคำเตือนอย่างยิ่งและเซสชันที่ผู้ใช้จำทั้งหมดจะถูกลบ
   3. หากชื่อผู้ใช้และชุดไม่อยู่คุกกี้เข้าสู่ระบบละเว้น

วิธีการนี้ให้การป้องกันในเชิงลึก หากใครบางคนจัดการกับการรั่วไหลของตารางฐานข้อมูลมันจะไม่เปิดประตูให้ผู้โจมตีที่ปลอมตัวเป็นผู้ใช้

ฉันจะเก็บ ID ผู้ใช้และโทเค็น เมื่อผู้ใช้กลับมาที่ไซต์ให้เปรียบเทียบข้อมูลทั้งสองชิ้นกับบางสิ่งที่คงอยู่เช่นรายการฐานข้อมูล

เพื่อความปลอดภัยอย่าเพิ่งใส่อะไรลงไปในนั้นที่จะอนุญาตให้ใครบางคนดัดแปลงคุกกี้เพื่อรับสิทธิพิเศษ ตัวอย่างเช่นอย่าเก็บกลุ่มผู้ใช้หรือรหัสผ่าน สิ่งใดก็ตามที่สามารถแก้ไขได้ซึ่งจะหลีกเลี่ยงความปลอดภัยของคุณไม่ควรถูกเก็บไว้ในคุกกี้

เก็บ ID ผู้ใช้และ RememberMeToken เมื่อพวกเขาเข้าสู่ระบบด้วยจดจำฉันตรวจสอบสร้างใหม่ RememberMeToken (ซึ่งทำให้เครื่องอื่น ๆ ที่มีการทำเครื่องหมายเป็นโมฆะจำฉัน)

เมื่อพวกเขากลับมาค้นหาพวกเขาด้วยโทเค็นจดจำฉันและตรวจสอบว่า UserId ตรงกัน

การตรวจสอบเซสชันที่มีอยู่ฉันพบว่ามันไม่คุ้มกับความเสี่ยงด้านความปลอดภัย ใช้มันหากคุณจำเป็นต้องใช้อย่างแน่นอน แต่คุณควรพิจารณาเซสชั่นดังกล่าวเท่านั้นที่ได้รับการรับรองความถูกต้องอย่างอ่อนแอและบังคับให้เข้าสู่ระบบใหม่สำหรับทุกสิ่งที่อาจมีค่าต่อผู้โจมตี

เหตุผลที่แน่นอนคือคุกกี้ของคุณที่มีเซสชันถาวรของคุณนั้นถูกขโมยง่าย

4 วิธีในการขโมยคุกกี้ของคุณ (จากความคิดเห็นของ Jens Rolandบนหน้าเว็บ@splattneตามคำตอบของเขา):

1. โดยการดักจับมันผ่านสายที่ไม่ปลอดภัย (การดักจับแพ็คเก็ต / การแย่งชิงเซสชัน)
2. โดยการเข้าถึงเบราว์เซอร์ของผู้ใช้โดยตรง (ผ่านมัลแวร์หรือการเข้าถึงกล่อง)
3. โดยอ่านจากฐานข้อมูลเซิร์ฟเวอร์ (อาจเป็น SQL Injection แต่อาจเป็นอะไรก็ได้)
4. โดย XSS Hack (หรือการใช้ประโยชน์จากฝั่งไคลเอ็นต์ที่คล้ายคลึงกัน)