Re: Sicherheit bei Login Cookies

Sicherheit bei Login Cookies (14 Beiträge, 365 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Ich baue im Moment zum Spaß an ein paar experimentellen Webanwendungen und bin jetzt gerade dabei eine User- und Rechteverwaltung inklusive Login und Registrierung via Browser zu realisieren.

Ich habe jetzt über die verschiedenen Möglichkeiten nachgedacht die mir in den Sinn gekommen sind.
Am weitesten verbreitet wird wohl das Cookie sein.

Hier im Forum zum Beispiel wird bei jedem HTTP Request das Login Cookie mit User Id und gehashtem Passwort mitgeschickt.
Ist das nicht unglaublich unsicher?
Es besteht keinerlei Schutz gegen mitm Angriffe. (Angreifer erhält nicht das Passwort, aber vollen Zugriff auf den Account)
Die einzige Möglichkeit Login Cookies halbwegs sicher zu verwenden wäre somit stets SSL/HTTPS zu verwenden, oder?
Warum verwenden dann trotzdem so viele Anbieter von Webservices Cookies via HTTP?

Die folgende Lösung mit einem Cookie das weniger sensible Daten beinhaltet ist mir eingefallen.
Bei jedem Login wird für den Useraccount mit dem der Login stattgefunden hat die IP Adresse eingetragen und ein Cookie mit einem random generierten Key zurückgesandt.
Fortan werden nur noch Zugriffe von dieser IP erlaubt und es muss dieses Cookie mitgeschickt werden.

Sollte sich die IP ändern muss man sich neu einloggen.
Die Sicherheit steigt außerhalb des eigenen Netzwerks:
Sofern man nicht von der IP Adresse des Benutzers senden kann bringt einem das Cookie nichts.

test

Re: Sicherheit bei Login Cookies

(Arrris am 12.04.2014, 04:27:19)

Re: Sicherheit bei Login Cookies (hellbringer am 12.04.2014, 05:30:25)

Warum verwenden dann trotzdem so viele Anbieter von Webservices Cookies via
HTTP?

weils wurscht ist - wenn du dich schon unsicher einloggst, ist der cookie inhalt auch schon egal.

Re(2): Sicherheit bei Login Cookies (Diabolo2000 am 12.04.2014, 13:55:21)

Re(3): Sicherheit bei Login Cookies (user96106 am 12.04.2014, 18:53:09)

Re(4): Sicherheit bei Login Cookies

(TuxTux am 12.04.2014, 21:12:41)

Re: Sicherheit bei Login Cookies (mjy@geizhals.at am 12.04.2014, 18:36:29)

Re(2): Sicherheit bei Login Cookies (user96106 am 12.04.2014, 18:46:04)

Re(3): Sicherheit bei Login Cookies (mjy@geizhals.at am 12.04.2014, 19:07:01)

Re(4): Sicherheit bei Login Cookies

(user96106 am 12.04.2014, 19:11:02)

Re(5): Sicherheit bei Login Cookies (TuxTux am 12.04.2014, 21:17:24)

Re(2): Sicherheit bei Login Cookies (Diabolo2000 am 16.04.2014, 13:06:08)

Re: Sicherheit bei Login Cookies (*patrick star* am 15.04.2014, 20:24:37)

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung