Кража куки — Проблема разработчика или пользователя?

Question

[Vitali]

Является ли несанкционированное получение доступа к системе путём кражи куки у пользователя — проблемой разработчика?

Боритесь ли вы с этим как нибудь или оставляете эту проблему на совести пользователя?

Ваши мнения?

Answer 1

[fizot]

ИМХО это сугубо проблема разработчика, т.к. юзеры бывают совершенно разные, а большинство и не знает что такое куки, граммотный разработчик же пишет свой софт для всех
Имхо тут либо привязывать к IPшнику, что не очень хорошо, т.к. большинство юзеров имеют динамические IPшники, либо принимать то, что может пострадать безопасность.
Также можно привязать к Useragent, как дополнительный параметр безопасности или даже зашифровать его в юзерагента
Ещё можно понапридумывать извращений, к примеру при каждом заходе юзера обновлять куку и т.д.

Comments

[mambet]

А в чём сложность своровав куку украсть useragent и подделать его потом?

[Vitali]

Я сейчас остановился на следующем варианте.

В куке хранится:
1. ID пользователя
2. Рандомный токен который генерируется новый при каждом входе
3. Первые 4 цифры IP адреса (Использую только первые цифры т.к. у многих ip динамический и это может создать неудобства.
4. User agent.

Всё это естественно надёжно зашифровано. Только если все эти параметры совпадают, происходит вход.

Надеюсь что достаточно безопасно :)

[Владимир Чернышев]

Имхо, не лучший вариант. У меня кука это только ид сессии, а в сессии уже храню IP и User-Agent. При запросе сравниваю и если не совпадает, то редирект на логин.

[fizot]

Сложность в том, что можно украв куку узнать и браузер и ОС, но ты не узнаешь юзерагент пользователя не запустив браузер, т.к. в нем инфа о версии дотнета и много прочей инфы
Mozilla/5.0 (iPad; U; CPU OS 3_2 like Mac OS X; en-us) AppleWebKit/531.21.10 (KHTML, like Gecko) Version/4.0.4 Mobile/7B
А её уже украсть сложнее…

Answer 2

[antoo]

Зависит от способа кражи — будь то XSS — виноват разработчик, а если пользователь вводит в адресную строку чудо-скрипты, то сам виноват.

Answer 3

[NEMMO]

Если cookie украдены непосредственно с компьютера пользователя, то виноват сам пользователь 100%, аналогично если у вас пароль от icq украли? Мы же не будем обвинять в этом icq.com

>Зависит от способа кражи — будь то XSS — виноват разработчик

XSS — Тут без вариантов, вина только разработчика!

Comments

[ComputerPers]

Смотря как украли… если путем взлома како-го либо хэша, то будем

Answer 4

[interrupt_controller]

еще может иметь место вина разработчика браузера, если в браузере уязвимость, позволяющая украсть куки

также, если куки хранятся у клиента в не шифрованном виде — тоже по большей части вина разрабов браузера

Comments

[OlegTar]

Какая разница в каком виде хранятся куки на компе, если их украсть и установить у себя они должны работать. Так что какая разница в каком виде они хранятся.

Answer 5

[Роман]

Соглашусь с мнениями выше и добавлю от себя: обычно заворачиваю user agent + первые цифры IP адреса в md5, при входе просто сравниваю.

Answer 6

[NEMMO]

На данный вопрос, приходит один единственный ответ (судя по комментариям) — виновны все! И разработчики сайтов и пользователи и третьи лица (в нашем случаи разработчики браузеров).