ログインしたままにするベストプラクティス：Cookieのユーザー名はどのようにしてより安全になりますか？

Question

これは別の質問のブランチです： What is the best way to implement "remember me" for a website?

トップの答えはこれを実装することです： http://jaspan.com/improved_persistent_login_cookie_best_practice

要約：

シリーズトークンとして乱数を使用し、別のログイントークンとして使用します。 ログインしたままの状態のCookieに、ユーザー名とともにそれらを配置します。 2番目の通常のセッションCookieを割り当てます。ユーザがセッションクッキーなしで に到着するたびに、ログインしたままのクッキーを消費します。新しく を発行してください。今度は新しいランダムログイントークンを使用して、シリーズ トークンを同じにしておきます。

なぜユーザー名が含まれますか？それはどのように役立っていますか？シリーズトークンは、ユーザーとシリーズを識別するのに十分なものでなければなりません。このアプローチでは、攻撃者がすべてのユーザー名を推測して一度にサイトにヒットし、全員をログアウトさせるDoS攻撃を防ぐために、この方法でシリーズトークンが追加されました。しかし、なぜユーザー名をまったく残すのが理にかなっていますか？

Answer 1

新しいセッションCookieを発行する前に、ユーザー名と番号がサーバー上でペアとして参照されます。ユーザー名がなければ安全性は低くなり（番号を盗んだ場合は別のユーザーを使って再生することができます）、ルックアップが難しくなります。

Answer 2

私の推測はこれです：

ユーザー名は監査用です。クライアントが認証のためにトークンと一緒にクライアントを送信する必要がある場合は、どのユーザーが認証を試みるかを知っています。これはあなたが間違ったトークンに何らかのやり方で反応することを可能にします。

認証中にトークンを尋ねるだけの場合は、どのユーザーが実際に試行しているのかわからないし、試合では誰かにアクセス権を与えても何の失敗もできません。誰かが盲目的にそれらを乗ろうとすることができます。

これを念頭において、ユーザー名とトークンの両方を使用して解決しましょう。トークンが間違っている場合、そのユーザーの他のすべてのトークンを削除できます。しかしそれはDOSにシステムを開く。攻撃者は自由に誰かをログアウトすることができます。だからそのシリーズのために追加されます。

ユーザー名を指定する必要はありません。ユーザーを識別できるようにするいくつかの情報も機能します。