Как защитить файлы cookie, созданные PHP после входа в систему

Question

После входа в систему cookie устанавливается PHP. Но текст в cookie одинаковый для пользователя. Так что, если кто-то получит cookie, тогда можно легко войти, используя куки-файл пользователя, который он получил.

Хотя я обнаружил, что невозможно установить или отредактировать файл cookie в браузере. Но если кому-то (возможно, хакеру) удастся редактировать/заменять куки-файлы, он может легко войти в систему.

Я пробовал шифрование XOR, но это не имеет никакого значения.

Как я могу лучше защитить свой сайт?

Answer 1

Использование процесса аутентификации с использованием файлов cookie является частью захвата сеанса. Вы должны узнать, что это не только файлы cookie, которые делают ваши сценарии уязвимыми для подобных атак.

Непроницаемым решением является HTTPS. Компромисс для использования файлов cookie для хранения вашей информации для входа - это использование протокола HTTPS.

Не нужно иметь доступ к компьютеру, чтобы обнюхать ваши файлы cookie и захватить сеанс. Это можно сделать в локальной сети или даже в общедоступном wi-fi, используя простые программы, если все ваши данные не полностью зашифрованы до конца.

Предупреждение. Недостаточно шифрования только для заголовка. См FiresSheep раздел в следующей статье

Session Hijacking