Опасность Cookies в HTTP

Опасность Cookies в HTTP - Visavi.net https://visavi.net/ RSS - Visavi.net https://visavi.net/assets/img/images/logo_small.png RSS - Visavi.net https://visavi.net/ [email protected] (admin) [email protected] (admin) Fri, 19 Apr 2024 21:49:17 +0300 Автор , выход есть . Таскать данные в GET . https://visavi.net/topics/41259/678968 Опасность Cookies в HTTP Сергей Wed, 25 Feb 2015 01:33:24 +0300 Сообщения https://visavi.net/topics/41259/678968 <pre class="prettyprint"><?php array(2) { ["referrer"]=> string(44) "[nonsec]visavi.net/forum/topic.php?tid=42010" ["supportOnlineTalkID"]=> string(32) "NHpdyU3SVF5USqNuaX8Gws2Ktmv0BrUx" } </pre> Кто сталкивался с подобными куками? Добавлено через 00:59 сек. И ведь не удаляются никак зараза Добавлено через 08:37 сек. [nonsec] гуглил толк 0 https://visavi.net/topics/41259/678967 Опасность Cookies в HTTP Dmitry Kokorin Tue, 24 Feb 2015 23:27:03 +0300 Сообщения https://visavi.net/topics/41259/678967 26. DimmoS, а смысл тогда в секретном слове? можно заставить логин и пароль вводить. Такой подход имеет смысл только при одноразовых словах (например если код в СМС высылается, или при регистрации выдаётся список таких кодов). https://visavi.net/topics/41259/678926 Опасность Cookies в HTTP shilo Tue, 24 Feb 2015 06:37:08 +0300 Сообщения https://visavi.net/topics/41259/678926 29. Tegos, всякое бывает, никто не застрахован. . https://visavi.net/topics/41259/678925 Опасность Cookies в HTTP Dmitry Kokorin Tue, 24 Feb 2015 03:05:49 +0300 Сообщения https://visavi.net/topics/41259/678925 28. DimmoS, ты веришь что у тебя кто-то будет куки воровать? https://visavi.net/topics/41259/678924 Опасность Cookies в HTTP Tegos Tue, 24 Feb 2015 01:19:13 +0300 Сообщения https://visavi.net/topics/41259/678924 27. Tegos, мне https://visavi.net/topics/41259/678921 Опасность Cookies в HTTP Dmitry Kokorin Mon, 23 Feb 2015 23:38:38 +0300 Сообщения https://visavi.net/topics/41259/678921 кому нужна такая безопасность? <img src="https://visavi.net/uploads/stickers/smile.gif" alt="smile"> https://visavi.net/topics/41259/678919 Опасность Cookies в HTTP Tegos Mon, 23 Feb 2015 23:06:18 +0300 Сообщения https://visavi.net/topics/41259/678919 25. shilo, я думаю мой варик в п.24 лучше подойдет чем токены https://visavi.net/topics/41259/678907 Опасность Cookies в HTTP Dmitry Kokorin Mon, 23 Feb 2015 19:05:32 +0300 Сообщения https://visavi.net/topics/41259/678907 23. KpuTuK, полный... два токена вместо одного, с какой целью? зачем нужен временный, если есть постоянный? Почему-бы не использовать ttl кук, вместо вот этого велосипеда с сравнением времени? https://visavi.net/topics/41259/678905 Опасность Cookies в HTTP shilo Mon, 23 Feb 2015 19:01:27 +0300 Сообщения https://visavi.net/topics/41259/678905 23. KpuTuK, еще думаю как вариант хранить в базе некий "секретный слоВо" при авторизации по кукам спрашивать это слово и если гут то писать в сессию что все Ок если нет то просим авторизации Это как ключ от дома тебя как бы узнают дома но без секрета не пускают, таким образом даже если сп**ть куки то никак не авторизируешься пока не ведешь этот секрет https://visavi.net/topics/41259/678904 Опасность Cookies в HTTP Dmitry Kokorin Mon, 23 Feb 2015 19:00:21 +0300 Сообщения https://visavi.net/topics/41259/678904 22. DimmoS, можно чтото типа токенов сделать временных <pre class="prettyprint"> <?php $token = explode(':', $data->user_token); if (isset($_COOKIE['user_token']) && isset($_COOKIE['user_token_time'])) { if ($token[0] === $_COOKIE['user_token']) { if (time() < $_COOKIE['user_token_time']) { // Все гуд } elseif (time() === $_COOKIE['user_token_time']) { // создаем новый токен и пишем его в куки и базу }else { // Уведомление о том что токен устарел } } else { // Уведомление о том что токен не действителен } } </pre> можно сделать еще вечный токен и менять его поле каждой авторизации и если временный токен устарел то смотреть по вечному хотя может и бред https://visavi.net/topics/41259/678902 Опасность Cookies в HTTP KpuTuK Mon, 23 Feb 2015 18:44:10 +0300 Сообщения https://visavi.net/topics/41259/678902 Варианты: ИП - отпадает сразу, думаю обьяснения излишни ЮА - как вариант! Пример <pre class="prettyprint"><?php $dataCode = md5($uid); $dataHash = md5($ua.$uid.$upass); setcookie("code",$dataCode,time()+10000); setcookie("name",$dataHash,time()+10000); //auth $res = query("SELECT `id`,`pass` FROM `user` WHERE `code`='".$dataCode."' LIMIT 1"); If(!$res){ //stop }else{ $data = $res->fetch_object(); if($_COOKIE['name'] == md5($ua.$data->id.$data->pass){ //session write }</pre> Чо-то типа того.. Соль и т.п по аналогии. . Думаю что еще добавить /заменить https://visavi.net/topics/41259/678899 Опасность Cookies в HTTP Dmitry Kokorin Mon, 23 Feb 2015 18:24:47 +0300 Сообщения https://visavi.net/topics/41259/678899 20. Tegos, хз, Но интересная, кое-что взял на заметку Думаю как можно максимально обезопасить сайт Перебираю все попадающиеся варианты, на многие плевался как верблюд <img src="https://visavi.net/uploads/stickers/smile.gif" alt="smile"> https://visavi.net/topics/41259/678897 Опасность Cookies в HTTP Dmitry Kokorin Mon, 23 Feb 2015 17:53:38 +0300 Сообщения https://visavi.net/topics/41259/678897 19. DimmoS, интересно когда она написана ... https://visavi.net/topics/41259/678895 Опасность Cookies в HTTP Tegos Mon, 23 Feb 2015 16:45:54 +0300 Сообщения https://visavi.net/topics/41259/678895 <div class="hidden-text"> Скрытый контент: Для выполнения действия необходимо авторизоваться!</div> Интересная статья по теме https://visavi.net/topics/41259/678893 Опасность Cookies в HTTP Dmitry Kokorin Mon, 23 Feb 2015 16:09:48 +0300 Сообщения https://visavi.net/topics/41259/678893