代码之家 › 专栏 › 技术社区 › meandmycode

这是实现“记住我”功能的合理方式吗

remember-me rijndaelmanaged authentication security

meandmycode · 技术社区 · 17 年前

我们还可以根据用户代理和部分ipv4地址(最后两个八位字节)生成初始化向量。

显然,这里面没有真正的过期系统,从技术上讲,用户可以永远使用这个加密密钥(假设我们不更改服务器端密钥)。。

我考虑到这样一个事实,即为了允许此功能,我需要允许用户能够绕过登录并给我他们的唯一id(即guid),我认为仅凭guid就很难猜出真正的用户guid,但会让网站受到生成guid的僵尸的攻击(我不知道找到合法的guid对他们来说有多现实)…这就是为什么服务器知道加密密钥,并且可选地,iv特定于浏览器和ip部分的原因。

期待被羞辱;), 干杯

3 回复 | 直到 16 年前

Community Mohan Dere 9 年前

Very similar question.

你的问题的答案就在这里 blog post

“实践”描述了一个相对简单的过程熟悉的网络“记住我”选项这种方法的好处,但也持久登录cookie已被删除被攻击者偷走并使用。

正如Jacco在评论中所说:关于保护 The Definitive Guide To Website Authentication .

Josh 17 年前

rmmh CJ Cullen 17 年前

记住的信息有多重要?如果这不是什么非常私人或重要的事情,只需在cookie中添加GUID即可。

使用蛮力来寻找guid是荒谬的,因为有2个 ¹²⁸

推荐文章

MaSc. H. · 大小与阵列大小

1 年前

David 54321 · 我的密码在pyinstaller.exe中安全吗?

2 年前

Duong Duc Nguyen · 如何检测Windows应用程序(.exe)是否正在向外部发送数据?

2 年前

Michael · 某些Windows客户端上的命名管道安全问题

2 年前

al ice · 具有颤振的鲁棒认证

2 年前

adamency · 是否可以从Go二进制文件的源代码中检索字符串?

2 年前

Tricotou · $.get(code_url)执行返回的代码,不使用eval(),也不将其附加到DOM。jQuery安全性失败?

2 年前

AlboSimo · PayPal Api密钥安全

2 年前

Jordan Regan · 仅在响应中保护HTTP cookie,但不保护请求

2 年前

kellerkindt · 不带查询字符串的Apache2 ProxyPass

2 年前