OpenIDを使用してログインしたままにするための安全な戦略

Question

私はOpenIDを使ってユーザーをサインするウェブサイトを持っています。私が使用しているライブラリは、ユーザーがログインしたときにユーザープロファイルを返します。このプロファイルには、ユーザーの電子メール、名前、アバターへのリンク、OpenIDプロバイダから返されたIDが含まれます。

ログインしているユーザーを維持するための私の戦略はこれです：初めてでユーザーloggesが、私はOpenIDのの返されたID

に基づくハッシュコードを作成する場合

• 私はこのハッシュコードを保存します2つのクッキー内のユーザーIDとともに表示されます。
• ユーザーが、私はこれらのクッキーをチェックし、彼らが利用可能にしている場合、IDとハッシュコードを一致させよう、それが正しいなら、私は、ユーザーがログインし、私のウェブサイトに来るとき。

今度はという問題がこれです。このクッキー情報が何らかの形でユーザーから盗まれた場合、ハッカーはユーザー自身の代わりに簡単にログインできます。ユーザーがログインしてユーザーのcookeisを更新するたびに新しいハッシュコードを作成できますが、他のブラウザー/コンピューターのCookieの情報は無効になります。

StackOverflowのウェブサイトは、このような問題に悩まされないので、私は私のログイン戦略を確保し、ユーザーのためにログイン滞在する機能を追加するために、両方の何をすべきかを知っていただきたいと思います。

Answer 1

これを行うための標準的な方法は、セッションIDを取得し、それをクッキーとして送信します。データベースでは、そのセッションIDとともにユーザーの資格情報を保管することができます。ユーザーがログアウトすると、そのセッションIDを無効にすることができます。

Answer 2

これは、クライアントがログインしたままにするためのすべてのメカニズムに問題はありませんか？あなたがgmailにログインして、あなたのクッキーを盗んで自分のブラウザに入れたら、ブラウザとブラウザを区別する方法がなく、Gmailにアクセスできます。あなたが提案しているような攻撃を止める方法はありません。（コンピュータにウイルスなどがなくてもクッキーを盗む可能性のあるユーザ以外は）