Подпись cookie хешем для проверки целостности. Есть смысл?

Question

[sonic1995]

Привет сообществу! Я хотел бы знать, имеет ли смысл подписывать файлы cookie хешем, чтобы проверить их на целостность (не изменение значений пользователем самостоятельно)? Прежде всего, я понимаю, что я не должен хранить какие-либо чувствительные данные в файлах cookie и вместо этого использовать сессии. Это именно то, что я делаю. Но все же мне не нравится, когда пользователь может модифицировать даже не столь важные данные.

Сейчас использую такую схему: предположим, у нас есть файлы cookie для:

• PHPSESSID
  
• site_lang
  
• recently_viewed
  

Теперь, когда я обновляю(добавляю/удаляю/редактирую) значение cookie, я считаю хэш для cookie с ключом, скажем, cookie_hash и значением например md5(serialize ($ _COOKIE(без PHPSESSID)) + $secret) ключ PHPSESSID для вычисления и проверки хэша не использую, потому что он не управляется классом CookieManager (допустим имя класса для управления куками) и значение может обновиться в любой момент для предотвращения session fixation...
Меня беспокоит только одно: что если какой-либо сторонний пакет\класс\библиотека установит какую-то куку, минуя мой CookieManager, конечно. он ведь нарушит хеш. Стоит ли вообще так делать?

Возможно CookieManager следует вести учет установленных им значений и считать\проверять хеш только для них?

Comments

[devalone]

Но зачем? В чём проблема редактирования куки пользователями?

Answer 1

[Stalker_RED]

Вам не кажется, что вы заново изобретаете JWT?

Comments

[sonic1995]

Возможно вы правы, но мое приложение не нуждается в таком уровне безопасности. Мне было интересно может ли приведенное мной "грязное" решение do the trick. Или какие в нем недостатки / подводные камни чтобы я мог решить стоит ли вообще заморачиваться. Конечно, если бы это было крайне необходимо для моего веб-приложения, я бы смотрел в сторону известных проверенных временем решений.

[Stalker_RED]

sonic1995, вот есть PHP обычные сессии, их логика десятилетиями оттачивалась, и они в принципе неплохи. Документированы вдоль и поперек, каждый нуб может разобраться как они устроены.

Есть JWT, который более новый, не всем привычен, но тоже неплохо документирован, быстро набирает популярность, так как он "stateless".

И есть самоделка, плюсы которой не очевидны.
Минусы навскидку:
1. Документации нет (я угадал же?).
2. Сломается от любой дополнительной куки установленной в обход CookieManager'а (или будет их игнорировать, ок)
3. Добавляет ложную иллюзию безопасности за счет неясности. (security through obscurity)

И все это для...

Но все же мне не нравится, когда пользователь может модифицировать даже не столь важные данные.

Но что плохого случится, если пользователь установит себе неправильный SESSIONID? Или вы все-же храните в куках чувствительные данные?