VBsupport перешел с домена .ORG на родной .RU
Ура!
Пожалуйста, обновите свои закладки - VBsupport.ru
Блок РКН снят, форум доступен на всей территории России, включая новые терртории, без VPN
На форуме введена премодерация ВСЕХ новых пользователей
Почта с временных сервисов, типа mailinator.com, gawab.com и/или прочих, которые предоставляют временный почтовый ящик без регистрации и/или почтовый ящик для рассылки спама, отслеживается и блокируется, а так же заносится в спам-блок форума, аккаунты удаляются
Если вы хотите приобрести какой то скрипт/продукт/хак из каталогов перечисленных ниже: Каталог модулей/хаков
Ещё раз обращаем Ваше внимание: всё, что Вы скачиваете и устанавливаете на свой форум, Вы устанавливаете исключительно на свой страх и риск.
Сообщество vBSupport'а физически не в состоянии проверять все стили, хаки и нули, выкладываемые пользователями.
Помните: безопасность Вашего проекта - Ваша забота. Убедительная просьба: при обнаружении уязвимостей или сомнительных кодов обязательно отписывайтесь в теме хака/стиля
Спасибо за понимание
Реализовал стандартную систему входа через сессию, понадобилось реализовать вход через кукисы.
Сразу же возникает вопрос о безопасности использования данного метода, так как, в случае кражи кукисов, "хакер" сможет спокойно использовать аккаунт жертвы, пока не истечёт их срок.
В голове есть несколько идей, но не одну из них я не считаю верной. Первое, что пришло в голову, это сделать привязку кукисов к городу пользователя.
То есть, кладём в $_COOKIE['hash'] = md5($user_id.$password.$uniquekey.$city). $uniquekey - как бы рандомное значение, которое будет генерироваться при первом входе в аккаунт или же смене пароля и будет парситься и БД (users.uniquekey).
Но, в Москве проживает более 10 миллионов человек, поэтому города могут совпасть, если злоумышленник знает, как работает система или там проживает. Если же города не будут совпадать, то злоумышленник просто напросто не попадёт в аккаунт. Также, система может быть неудобна, если пользователь постоянно "путешествует" по городам.
У кого как реализована система входа по кукисам? Есть идеи?
у нас "система реализована" через логин/пароль
нахрена велосипед изобретать?
@Liked
Специалист
Join Date: Dec 2012
Posts: 1,158
Версия vB: 4.2.х
Пол:
Reputation:
Professional 491
Репутация в разделе: 28
0
Quote:
Originally Posted by kerk
у нас "система реализована" через логин/пароль
нахрена велосипед изобретать?
В куках хранится только логин/пароль? Хотелось бы иметь доп. безопасность (кроме привязки кукисов к айпи) при краже кукисов.
@SAS1024
io.sys
Join Date: Aug 2005
Location: Россия, Архангельск
Posts: 810
Версия vB: 3.8.x
Reputation:
Гуру 674
Репутация в разделе: 13
1
@Liked, а двухфакторная аутентификация не подойдет? Если уж совсем-совсем параноить хочется
Потому что любые варианты секьюрных кук с привязкой к IP, браузеру, разрешению экрана, операционной системе пользователя и т.п. - это всё обходится на раз.
В куках стандартный вариант - хранение логина + хэша пароля, полученного через какой-либо модный способ.
@Liked
Специалист
Join Date: Dec 2012
Posts: 1,158
Версия vB: 4.2.х
Пол:
Reputation:
Professional 491
Репутация в разделе: 28
0
Quote:
Originally Posted by SAS1024
а двухфакторная аутентификация не подойдет? Если уж совсем-совсем параноить хочется
Хороший вариант, на ксеньке реализована такая вещь.
Liked добавил 27.02.2016 в 16:05
Quote:
Originally Posted by SAS1024
а двухфакторная аутентификация не подойдет
Кстати, что ставить в кукис для тех, кто успешно прошёл двухфакторную авторизацию? Не при каждом же входе с одного компа запрашивать подтверждение по почте?!
Last edited by Liked : 02-27-2016 at 05:18 PM.
Reason: Добавлено сообщение
Smalesh
В Черном списке
Join Date: Oct 2006
Награды в конкурсах:
Posts: 3,055
Версия vB: 3.8.7
Пол:
Reputation:
Мастер 3981
Репутация в разделе: 166
1
Quote:
Originally Posted by Liked
Кстати, что ставить в кукис для тех, кто успешно прошёл двухфакторную авторизацию? Не при каждом же входе с одного компа запрашивать подтверждение по почте?!
Добавь в хеш ip. Тогда авторизацию запросит при смене ip. Обратная сторона - у некоторых ip меняется достаточно часто и вызовет неудобство.
Авторизация по кукам
