Можно ли использовать шифрованные Cookie для хранения сессий?

Question

[Alex]

Есть идея использовать зашифрованные подписанные (HMAC) Cookie для хранения сессии пользователя на стороне клиента. Есть проблема безопасности, когда злоумышленник, зная ключ, может создать Cookie для любого пользователя. Но эту проблему можно обойти если вместе с id пользователя в Cookie хранить часть от хеша пароля пользователя. Таким образом, максимум, что может злоумышленник - взломать одного пользователя.
Какие могут быть недостатки у этого метода?

Answer 1

[olamedia .]

0_о
у вас id куки не рандомные, а по ключу? это уязвимость, да...
Если данные сессии хранятся - то потеря ключа - это уязвимость сама по себе, остальные - следствие.

Comments

[Alex]

Так все же будет зашифровано в куке и без расшифровки не видно будет id.