क्या यह 'मुझे याद रखें' कार्यक्षमता को कार्यान्वित करने का एक उचित तरीका है

Question

यदि कोई उपयोगकर्ता साइट पर लॉग इन करता है, और कहता है 'मुझे याद रखें', तो हमें उपयोगकर्ता के लिए अद्वितीय पहचानकर्ता मिल जाता है, इसे 256 के स्थान और रीजेंडेल के साथ एन्क्रिप्ट करें यह एक httponly कुकी में कहने की एक सेट समाप्ति के साथ .. 120 दिनों, समाप्ति सर्वर के लिए प्रत्येक सफल अनुरोध ताज़ा किया जाता है।

वैकल्पिक रूप से हम उपयोगकर्ता एजेंट और आईपीवी 4 पते (अंतिम दो ऑक्टेट्स) के हिस्से के आधार पर प्रारंभिक वेक्टर उत्पन्न करते हैं।

जाहिर है कोई वास्तविक समाप्ति प्रणाली इस में निर्मित theres, उपयोगकर्ता तकनीकी रूप से हमेशा के लिए इस एन्क्रिप्टेड कुंजी इस्तेमाल कर सकते हैं (दिए गए हम सर्वर साइड कुंजी में परिवर्तन नहीं करते) ..

मैं तथ्य यह है कि इस सुविधा की अनुमति के लिए माना जाता है मुझे उपयोगकर्ता को लॉगिन को बाईपास करने और मुझे अपनी अनूठी आईडी (जो एक गाइड है) देने में सक्षम होने की अनुमति देने की आवश्यकता है, मुझे लगा कि अकेले ग्रिड वास्तविक उपयोगकर्ताओं को अनुमान लगाने में वाकई मुश्किल था, लेकिन साइट पर हमला करने के लिए खुली जगह छोड़ दी जाएगी गॉट्स उत्पन्न करने वाले बॉटनॉट्स (मुझे नहीं पता कि उनके लिए कानूनी गाइड खोजने के लिए कितना यथार्थवादी है) .. इसलिए यही एन्क्रिप्शन है जहां सर्वर एन्क्रिप्शन कुंजी जानता है, और वैकल्पिक रूप से iv ब्राउज़र और आईपी भाग के लिए विशिष्ट है।

क्या मुझे एक अलग दृष्टिकोण पर विचार करना चाहिए जहां सर्वर किसी उपयोगकर्ता से जुड़े टिकट जारी करता है, और इन टिकटों की एक ज्ञात समाप्ति तिथि होगी ताकि सर्वर समाप्ति के नियंत्रण में रहे? क्या मुझे वास्तव में समाप्ति की परवाह करनी चाहिए? याद है मुझे सब के बाद याद है?

नम्र होने के लिए तत्पर हैं;), चीयर्स।

Answer 1

Very similar question.

अपने प्रश्न का हल इस blog post

में है "लगातार लॉग इन कुकी बेस्ट अभ्यास," परिचित को लागू करने के लिए एक अपेक्षाकृत सुरक्षित दृष्टिकोण का वर्णन करता है "याद है मुझे" के लिए विकल्प वेब साइटें। इस आलेख में, मैं सुधार का प्रस्ताव करता हूं जो उस दृष्टिकोण के सभी लाभों को बरकरार रखता है लेकिन यह पता लगाना संभव बनाता है कि लगातार लॉगिन कुकी चोरी हो गई है और हमलावर द्वारा उपयोग किया जाता है।

जैको के रूप में टिप्पणी में कहते हैं: के लिए गहराई की जानकारी में के बारे में सुरक्षित प्रमाणीकरण The Definitive Guide To Website Authentication पढ़ें।

Answer 2

क्या आपने ओपन आईडी जैसे कुछ पर विचार किया था? एसओ का उपयोग करता है।

Answer 3

याद रखने वाली जानकारी कितनी महत्वपूर्ण है? यदि यह कुछ भी व्यक्तिगत या महत्वपूर्ण नहीं होने वाला है, तो बस कुकी में एक GUID डालें।

गणना में आईपी पता शामिल करना शायद एक बुरा विचार है, क्योंकि इससे सार्वजनिक नेटवर्क का उपयोग करने वाले उपयोगकर्ता तुरंत भूल जाएंगे।

GUID खोजने के लिए ब्रूट फोर्स का उपयोग हास्यास्पद है, क्योंकि 2 संभावनाएं हैं।