কোনও ওয়েবসাইটের জন্য "আমাকে মনে রাখুন" প্রয়োগ করার সর্বোত্তম উপায় কী? [বন্ধ]

Question

আমি চাই আমার ওয়েবসাইটটিতে একটি চেকবক্স রয়েছে যা ব্যবহারকারীরা ক্লিক করতে পারে যাতে প্রতিবার আমার ওয়েবসাইট দেখার সময় তাদের লগইন করতে না হয়। আমি জানি এটি বাস্তবায়নের জন্য তাদের কম্পিউটারে আমার একটি কুকি রাখা দরকার, তবে সেই কুকিতে কী থাকা উচিত?

এছাড়াও, এই কুকিকে কোনও সুরক্ষিত দুর্বলতা উপস্থাপন থেকে বিরত রাখতে সচেতন হওয়ার মতো সাধারণ ভুল রয়েছে, যা 'আমাকে মনে রাখুন' কার্যকারিতা দেওয়ার পরেও এড়ানো যেতে পারে?

Comments

চেক stackoverflow.com/questions/549/... (শীর্ষ উত্তর অংশ দ্বিতীয়)

— তুহিন জেড

আপনি যদি এএসপি.এনইটি

— আর্টিকেলস /

সিকিউরিটি এসই-তে বেশ কিছু দরকারী তথ্য রয়েছে ~ সিকিউরিটি.স্ট্যাকেক্সেঞ্জারভিউ

— সেকশনস

স্প্ল্যাটনে বর্তমানে গৃহীত উত্তরগুলি অত্যধিক জটিল। একটি এলোমেলো উত্স থেকে +16 বাইট টোকেন তৈরি করুন, এটি হ্যাশ করুন এবং ডাটাবেজে হ্যাশ + অ্যাকাউন্ট আইডি সংরক্ষণ করুন। তারপরে এইচটিটিপিএস + HTTP কেবল কুকিতে ব্যবহারকারীকে (বেস64 এনকোডযুক্ত বেস টোকন) প্রেরণ করুন (যাতে জাভাস্ক্রিপ্ট এটিকে অ্যাক্সেস / চুরি করতে পারে না)। এইভাবে, কেউই টোকেনটি অনুমান করতে বা অবৈধ অনুমান সহ লোকেদের লগ আউট করতে পারে না, তবুও যদি আপনার ডাটাবেস হ্যাক করা হয় তবে কেউ ডাটাবেসে টোকেন ব্যবহার করতে পারে না (তারা হ্যাশ করেছে)। সুতরাং কেবলমাত্র আসল ক্লায়েন্ট (বা যে কোনওভাবে ব্রাউজার স্টোর থেকে টোকেন চুরি করে) এটি ব্যবহার করতে পারে।

— শিওনক্রস

Answer 1

উন্নত স্থায়ী লগইন কুকি সেরা অনুশীলন

আপনি এখানে সেরা অনুশীলন (2006) বা এখানে বর্ণিত একটি আপডেট কৌশল (2015) হিসাবে বর্ণিত এই কৌশলটি ব্যবহার করতে পারেন :

1. যখন ব্যবহারকারী সাফল্যের সাথে আমাকে স্মরণ করে পরীক্ষা করে সফলভাবে লগ ইন করে , তখন একটি সাধারণ লগইন কুকি ছাড়াও লগইন কুকি দেওয়া হয় ।
2. লগইন কুকিতে একটি সিরিজ শনাক্তকারী এবং একটি টোকেন রয়েছে । সিরিজ এবং টোকেনটি উপযুক্ত বৃহত স্থান থেকে অবর্ণনীয় এলোমেলো সংখ্যা । উভয়ই একটি ডাটাবেস সারণীতে একসাথে সংরক্ষণ করা হয়, টোকেনটি হ্যাশ করা হয়েছে (sha256 ভাল আছে)।
3. যখন কোনও লগ-ইন না করা ব্যবহারকারী সাইটটি পরিদর্শন করে এবং একটি লগইন কুকি উপস্থাপন করে, সিরিজ শনাক্তকারীকে ডাটাবেসে সন্ধান করা হয় ।
   1. যদি সিরিজ শনাক্তকারী উপস্থিত থাকে এবং টোকেনের হ্যাশ সেই সিরিজ শনাক্তকারীর জন্য হ্যাশের সাথে মিলে যায় তবে ব্যবহারকারীকে প্রমাণীকরণ হিসাবে বিবেচনা করা হবে । একটি নতুন টোকেন তৈরি করা হয়েছে, টোকেনের জন্য একটি নতুন হ্যাশ পুরানো রেকর্ডের উপরে সংরক্ষণ করা হবে এবং ব্যবহারকারীর জন্য একটি নতুন লগইন কুকি জারি করা হয়েছে ( সিরিজ সনাক্তকারীটিকে পুনরায় ব্যবহার করা ঠিক আছে )।
   2. যদি সিরিজটি উপস্থিত থাকে তবে টোকেনটি মেলে না, একটি চুরি অনুমান করা হয়। ব্যবহারকারী একটি দৃ়ভাবে শব্দযুক্ত সতর্কতা পান এবং ব্যবহারকারীর মনে রাখা সমস্ত সেশন মুছে ফেলা হয়।
   3. ব্যবহারকারীর নাম এবং সিরিজ উপস্থিত না থাকলে লগইন কুকি উপেক্ষা করা হবে ।

এই পদ্ধতির গভীরতা প্রতিরক্ষা প্রদান করে। যদি কেউ ডাটাবেস টেবিল ফাঁস করতে পরিচালিত হয়, তবে এটি আক্রমণকারীকে ব্যবহারকারীদের ছদ্মবেশ দেওয়ার জন্য একটি মুক্ত দরজা দেয় না।

Comments

আরও দেখুন: স্ট্যাকওভারফ্লো.com / প্রশ্নগুলি / ৫৯৯/২ আপনার 'উন্নত' সংস্করণটি পড়া উচিত নয়

— জ্যাকো

এটির সাথে সমস্যা হ'ল আপনি কুকিতে ব্যবহারকারীর নামটি প্রকাশ করেছেন, যদিও Gmail এটি করে। আপনার কেন সিরিজ আইডি এবং একটি টোকেন উভয়ের প্রয়োজন? একটি বড় টোকেন ভাল না?

— ড্যান রোজনস্টার্ক

এছাড়াও, এই মডেলটি সম্পর্কে, কোনও আক্রমণকারীকে চুরি করা এবং তার কম্পিউটারে কুকি স্থাপন করা এবং হ্যাক করা কম্পিউটার থেকে কুকি মোছার চেয়ে কী প্রতিরোধ করা যায়। হ্যাকড কম্পিউটারটি জেনে রাখার সাথে সাথে তার কম্পিউটারটির প্রয়োজনের তুলনায় প্রমাণীকরণ এবং আপডেট হওয়া উচিত? একমাত্র পরিবর্তনটি হ'ল হ্যাক করা কম্পিউটার ব্যবহারকারীকে আবার লগইন করতে হবে এবং আমাকে স্মরণ করতে থাকবে। হ্যাক ব্যবহারকারী এই স্বীকৃতি দেয় কি না তা অনিশ্চিত হবে।

@ হিরোপ্রোটোগোননিস্ট সিরিজ আইডেন্টিফায়ার হ'ল একটি ডস আক্রমণ আক্রমণ রোধ করা। এটি না করে, আমি দ্রুত প্রতিটি সাইট ব্যবহারকারীর নাম এবং একটি অবৈধ টোকেন দিয়ে আপনার সাইটটিকে আঘাত করে একটি স্ক্রিপ্ট লিখতে পারি, আপনার সাইটের প্রত্যেককে লগ আউট করে।

— ক্রিস মোসচিনি

এই সমাধানটি ভুল, এটি কুনকুন্সি পরিচালনা করে না: যদি দুটি স্মরণে-প্রমাণীকরণের অনুরোধ একই সময়ে আসে, একই একই স্মরণকারী কুকির সাথে, প্রথমটি সফল হয় এবং টোকেন পরিবর্তন করে, দ্বিতীয়টি একটি ব্যর্থ প্রমাণীকরণের কারণ এবং একটি মিথ্যা অ্যালার্ম (কারণ টোকেন ইতিমধ্যে প্রথম অনুরোধ দ্বারা পরিবর্তন করা হয়েছে)। (ব্রাউজারটি শুরু হয়ে গেলে, এবং সাইটটি দুটি ব্রাউজার ট্যাবে পুনরুদ্ধার করা হলে এই পরিস্থিতি ঘটতে পারে))

— স্লোবো

Answer 2

আমি একটি ব্যবহারকারীর আইডি এবং একটি টোকেন সঞ্চয় করব। ব্যবহারকারী যখন সাইটে ফিরে আসেন, তখন ডাটাবেস এন্ট্রির মতো অবিচ্ছিন্ন কিছু কিছুর বিরুদ্ধে এই দুটি টুকরো তথ্যের তুলনা করুন।

সুরক্ষা হিসাবে, কেবল সেখানে এমন কোনও কিছু রাখবেন না যা কাউকে অতিরিক্ত সুবিধা অর্জনের জন্য কুকিকে সংশোধন করার অনুমতি দেবে। উদাহরণস্বরূপ, তাদের ব্যবহারকারী গোষ্ঠী বা তাদের পাসওয়ার্ড সংরক্ষণ করবেন না। আপনার সুরক্ষা বিঘ্নিত করতে পারে এমন কোনও কিছু যা কুকিতে সংরক্ষণ করা উচিত নয়।

Answer 3

তাদের ইউজারআইডি এবং একটি রেমেমি টোকেন সংরক্ষণ করুন। যখন তারা লগইন করে আমাকে স্মরণ করে রাখে আমাকে একটি নতুন রিমেমমেটোকেন জেনারেট করে (যা চিহ্নিত করা অন্য কোনও মেশিনই বাতিল করে দেয় আমাকে মনে রাখে)।

যখন তারা ফিরে আসবে তখন আমাকে টোকন মনে রাখবেন এবং ব্যবহারকারী আইড মিল আছে তা নিশ্চিত করুন।

Comments

এটি জোর করে কয়েক সেকেন্ডে জোর করা যেতে পারে। আমি আমার ইউজার_আইডিটিকে কেবল 1 এ সেট করব এবং সমস্ত টোকেনকে জোর করব। এটি আমাকে কয়েক সেকেন্ডের মধ্যে অ্যাক্সেস দেবে

— একটি বন্ধু

Answer 4

অবিরাম সেশনগুলি নিজেই তদন্ত করে আমি দেখতে পেয়েছি যে এটি সুরক্ষা ঝুঁকির পক্ষে উপযুক্ত নয়। আপনার যদি একেবারে করতে হয় তবে এটি ব্যবহার করুন, তবে আপনাকে এই জাতীয় অধিবেশনটিকে কেবল দুর্বলভাবে প্রমাণিত হওয়া এবং আক্রমণকারীটির পক্ষে মূল্যবান হতে পারে এমন কোনও কিছুর জন্য একটি নতুন লগইনকে বাধ্য করা উচিত consider

অবশ্যই হওয়ার কারণটি হ'ল আপনার অবিরাম সেশনে থাকা আপনার কুকিগুলি এত সহজে চুরি হয়ে যায়।

আপনার কুকিগুলি চুরি করার 4 টি উপায় ( তার উত্তরটির ভিত্তিতে পৃষ্ঠায় জেনস রোল্যান্ডের একটি মন্তব্য থেকে @splattne):

1. এটি কোনও অনিরাপদ লাইনে বাধা দিয়ে (প্যাকেট স্নিফিং / সেশন হাইজ্যাকিং)
2. সরাসরি ব্যবহারকারীর ব্রাউজার অ্যাক্সেসের মাধ্যমে (ম্যালওয়্যার বা বাক্সে শারীরিক অ্যাক্সেসের মাধ্যমে)
3. সার্ভার ডাটাবেস থেকে এটি পড়ে (সম্ভবত এসকিউএল ইঞ্জেকশন, তবে কিছু হতে পারে)
4. একটি এক্সএসএস হ্যাক দ্বারা (বা অনুরূপ ক্লায়েন্ট-পার্শ্ব শোষণ)

Comments

1. এইচটিটিপিএস এটি প্রতিরোধের জন্য ডিজাইন করা হয়েছে। ২. লগইন থাকুন এখানে সুরক্ষা সমস্যা নয়, আপনার বড় সমস্যা রয়েছে। ৩. একই হিসাবে ২. এটিকে অ্যাক্সেস-নিয়ন্ত্রণ নীতি এবং ভাল ইনপুট স্যানিটেশন দ্বারা প্রতিরোধ করা যেতে পারে; আপনি যদি এই পদক্ষেপগুলি না নেন তবে আপনার লগ ইন থাকুন এর চেয়ে আবার বড় সমস্যা।

— ক্রিস মোসচিনি