"Erinnere mich an diesem Computer" - Wie soll es funktionieren?

Question

Wenn Sie sich die Google Mail-Cookies ansehen, können Sie leicht sehen, was im Cookie "Erinnerung an mich" gespeichert ist. Der Benutzername/Einmalzugriffstoken. Es könnte auch in Fällen, in denen der Benutzername geheim ist, anders implementiert werden. Aber was auch immer ... die Sache ist nicht sehr hohe Sicherheit: Sie stehlen den Keks und Sie sind bereit zu gehen.

Meine Frage ist auf der funktionalen Seite, jedoch: wann löschen Sie ihre Zugriffstoken? Wenn ein Benutzer sich anmeldet ohne "erinnert mich an" auf einem anderen Computer, sollte es ihre Zugriff Tokens auf alle Maschinen ungültig machen? Ich frage, wie dies traditionell umgesetzt wird und wie es umgesetzt werden soll.

Answer 1

Ich benutze regelmäßig 2 oder 3 Maschinen gleichzeitig und habe "erinnern mich" auf allen von ihnen. Wenn einer von ihnen die anderen trennt, wäre das sehr ärgerlich, also würde ich es nicht empfehlen.

Traditionell würde es eine Auszeit verwenden, der Cookie läuft nach einer bestimmten Zeit ab (oder wenn der Benutzer sich abmeldet).

Es hängt alles von Ihrem Sicherheitsmodell ab. Wenn Sie eine firmeninterne Anwendung schreiben, in der Sie nur erwarten, dass sich ein Benutzer auf einem Computer befindet, möchten Sie möglicherweise strengere Einschränkungen als Google Mail. Denken Sie auch an die Möglichkeit von Denial of Service - wenn eine Aktion auf einer Maschine eine andere Maschine unbrauchbar machen kann, könnte dies dazu dienen, zu verhindern, dass ein berechtigter Benutzer in bestimmten Szenarien die Kontrolle übernimmt.

Answer 2

Der Cookie merken sollte die Maschine auch identifizieren. Es sollte mit der Maschine in Beziehung stehen, da es Orte gibt, an denen man sich erinnern möchte, und andere Orte, an denen man sich nicht erinnert (Heim oder Arbeit).

Verfallsdatum in der Regel zu einer angemessenen Frist gesetzt (zwei Wochen) oder nach der Benutzer explizit von der Maschine abgemeldet hat,

Answer 3

von einer anderen Maschine Die Anmeldung sollte das Login im Zusammenhang mit einem Cookie auf einem anderen nicht ungültig Maschine. Wenn sich die Benutzer jedoch abmelden oder "nicht Sie? Melden Sie sich hier an", sollte dies den Cookie löschen, an dem der Benutzer arbeitet.

Übrigens kann man einen Cookie stehlen, indem man auf https beharrt und es nicht zum Scripting macht.

Durch Hinzufügen von "; HttpOnly" zum Ausgang Ihres Cookies wird das Cookie für JavaScript, z.

HTTP/1.1 200 OK 
Cache-Control: private 
Content-Type: text/html; charset=utf-8 
Content-Encoding: gzip 
Vary: Accept-Encoding 
Server: Microsoft-IIS/7.0 
Set-Cookie: ASP.NET_SessionId=ig2fac55; path=/; HttpOnly 
X-AspNet-Version: 2.0.50727 
Set-Cookie: user=t=bfabf0b1c1133a822; path=/; HttpOnly 
X-Powered-By: ASP.NET 
Date: Tue, 26 Aug 2008 10:51:08 GMT 
Content-Length: 2838 

können Sie mehr über diese

• for .Net
• Firefox support
• Jeff - Codings hard, lets go shopping

Answer 4

lesen Was würde ich tun, ist jede Sitzung zu einer IP-Adresse verknüpfen. Wenn das Session-Token von einer anderen IP-Adresse als von Ihnen gesendet wird, lehnen Sie es ab.

Answer 5

Die Artikel Persistent Login Best Practice und Improved Persistent Login Best Practice sind gute Referenzen, um diese Art von Funktionalität zu implementieren.

Siehe auch diese Fragen Stackoverflow

• What is the best way to implement “remember me” for a website?
• The Definitive Guide To Website Authentication

Answer 6

Zugriffstoken sollten IP-spezifisch sein, so dass sie nicht leicht auf Maschinen übertragen werden können.

Sie sollten auch so implementiert werden, dass Benutzer sehen können, auf welchen Rechnern aktive Token aktiv sind.

Websites, die ein Token löschen, sobald ein neues auf einem anderen Computer erstellt wurde - wählen Sie, dass ihre Benutzer nicht auf mehreren Computern auf ihren Dienst zugreifen - oder wenn dies der Fall ist .

Die Richtlinie, die Sie anwenden, hängt wirklich von den Daten ab, die Sie halten, und von den Bedürfnissen des Benutzers.