"Ricordami su questo computer" - Come dovrebbe funzionare?

Question

Guardando i cookie di Gmail è facile vedere cosa viene memorizzato nel cookie "ricordami". Il nome utente/token di accesso singolo. Potrebbe essere implementato in modo diverso nei casi in cui il nome utente è segreto, pure. Ma qualunque cosa ... la cosa non è molto alta sicurezza: rubi il biscotto e sei pronto per andare.

La mia domanda è sul lato funzionale, tuttavia: quando cancelli i token di accesso? Se un utente accede a senza facendo clic su "Ricordami" su un altro computer, deve invalidare i relativi token di accesso su tutte le macchine? Sto chiedendo come questo sia tradizionalmente implementato, e anche come dovrebbe essere implementato.

Answer 1

Uso regolarmente 2 o 3 macchine contemporaneamente e mi "ricordo" su tutte. Se uno di loro disconnettesse gli altri sarebbe molto fastidioso, quindi non lo consiglierei.

Tradizionalmente utilizza un timeout, il cookie scade dopo un certo periodo di tempo (o quando l'utente si disconnette).

Tutto dipende dal modello di sicurezza. Se stai scrivendo un'applicazione aziendale interna in cui ti aspetti che un solo utente si trovi su un solo computer, potresti volere avere restrizioni più restrittive di gmail.

Inoltre, tenere presente la possibilità di Denial of Service: se un'azione su una macchina può forzare la restrizione di un'altra macchina, potrebbe essere utilizzata per impedire a un utente legittimo di riprendere il controllo in determinati scenari.

Answer 2

Il ricordami cookie dovrebbe identificare anche la macchina. Dovrebbe essere correlato alla macchina perché ci sono luoghi in cui si desidera essere ricordati e altri luoghi in cui non si fa (casa vs lavoro).

data

di scadenza è impostato di solito per un periodo di tempo ragionevole (due settimane) o dopo che l'utente ha esplicitamente disconnesso dalla macchina,

Answer 3

accede da un altro computer non dovrebbe invalidare il login associato con un cookie su un diverso macchina. Tuttavia, se gli utenti eseguono il logsout o "non tu? Accedi qui", questo dovrebbe cancellare il cookie su cui l'utente sta lavorando.

In ogni modo il furto di un cookie può essere reso difficile, insistendo su https e rendendolo non adatto allo scripting.

Aggiungendo "; HttpOnly" all'output dei cookie questo renderà il cookie non disponibile per javascript, ad es.

HTTP/1.1 200 OK 
Cache-Control: private 
Content-Type: text/html; charset=utf-8 
Content-Encoding: gzip 
Vary: Accept-Encoding 
Server: Microsoft-IIS/7.0 
Set-Cookie: ASP.NET_SessionId=ig2fac55; path=/; HttpOnly 
X-AspNet-Version: 2.0.50727 
Set-Cookie: user=t=bfabf0b1c1133a822; path=/; HttpOnly 
X-Powered-By: ASP.NET 
Date: Tue, 26 Aug 2008 10:51:08 GMT 
Content-Length: 2838 

si può leggere di più su questo

• for .Net
• Firefox support
• Jeff - Codings hard, lets go shopping

Answer 4

Quello che vorrei fare è collegare ogni sessione a un indirizzo IP. Se il token di sessione viene inviato da un IP diverso da quello che hai per quello, rifiutalo.

Answer 5

Gli articoli Persistent Login Best Practice e Improved Persistent Login Best Practice sono ottimi riferimenti su come implementare questo tipo di funzionalità.

Vedi anche queste domande StackOverflow

• What is the best way to implement “remember me” for a website?
• The Definitive Guide To Website Authentication

Answer 6

token di accesso dovrebbe essere IP specifico in modo che essi non possono essere facilmente trasferiti tra macchine.

Devono inoltre essere implementati in modo da consentire agli utenti di vedere su quali macchine hanno i token attivi.

I siti che scelgono di uccidere un token una volta che ne viene creato uno nuovo su un altro computer - fanno la scelta che i loro utenti non accedano al loro servizio su più computer - o se lo fanno - che il loro utilizzo giustifica il fatto di farli nuovamente accedere .

La politica che si impiega dipende in realtà dai dati che si stanno tenendo e dalle esigenze dell'utente.