Проверка на стороне сервера, если cookie украден

Question

Есть ли способ проверить, был ли cookie от пользователя A украден пользователем B на стороне сервера?

, например маркер куки/данные, созданные с помощью простой хэш-функции (sha1, например)

hash_of(user_agent,ip+proxy_ip,username,random_session_key) 

where user_agent is browser's user agent, 
    ip is the client IP address, 
    proxy_ip is the proxy's IP address the client use, 
    username is the username the user currently login, 
    random_session_key is a random number saved to database when a user logged in 

если куки были украдены и использованы другим человеком по локальной сети и локальной сети не используется какой-либо прокси, но NAT, и вор использовал точно такой же браузер (или обманывает пользовательский агент), как мы на стороне сервера это обнаруживаем?

Answer 1

Да, есть способ. Он называется Secure Cookie Protocol.

Вы используете SSL правильно? (потому что, если вас нет, весь этот разговор бессмыслен).

Ну, вы шифруете файл cookie, но используете идентификатор сеанса SSL. Предполагая, что SSL дает вам адекватную защиту конечных точек (сильные шифры и т. Д.), SCP должен защищать ваши данные и давать вам возможность сообщать, когда другой сеанс SSL пытается использовать тот же файл cookie (потому что sessionid изменяется, и поэтому MAC изменится).

key = HMAC(user name|expiration time, secret_key) 
cookie = user name|expiration time|encrypt(data, key) 
cookie = cookie | HMAC(user name|expiration time|data|sessionid, key) 

Таким образом, вы создаете уникальный код проверки на основе идентификатора сеанса SSL.

Обратите внимание, что REMOTE_ADDR или агент пользователя никогда не факторы в. Единственными факторами это использует вещи, которые крайне нетривиальной подделать, если Вы не физически скомпрометированы ящик клиента ...

Answer 2

Если печенье было уволен, слишком поздно. Приложение должно надлежащим образом защищать свои секреты. Useragenet контролируется злоумышленником, проверяя, что это значение небезопасно по своей природе.

OWASP - Insufficient Transport Layer Security.

HTTPOnly Cookies "Secure" Cookies

Предотвратить XSS, CSRF, и ClickJacking и фиксация сеанса.