Cookie de autenticación segura para el sitio web

Navega tus respuestas
1

Hola, quiero saber si este token de autenticación es lo suficientemente seguro para un sitio de millones de usuarios registrados: 

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

Con 10 millones de usuarios conectados, ¿qué tan difícil es adivinar un token válido?

¿Qué características debería tener? Tenga en cuenta que el contenido de la cookie sube y baja por el servidor a cada solicitud, por lo que no puede ser demasiado fácil

¿Es seguro configurar esta cookie a través de HTTPS pero leerla en cada página HTTP?

    
pregunta user2119955 31.05.2013 - 21:40
fuente

1 respuesta

3

Así es como funciona esto: tendemos a considerar que 128 bits de datos aleatorios no se pueden adivinar. Consulte ¿Por qué tanto tiempo para romper el cifrado de 128 bits? para hablar sobre eso.

Lo que quieres hacer es calcular el ataque de cumpleaños. Hay otras preguntas que hablan sobre esto en ¿Cuáles son las posibilidades de generar la misma clave ssh? y ¿Cuál es la posibilidad de colisión de una función de hashing de 128 bits si siempre se alimenta con 256 bits de datos? .

Su token parece estar codificado en Base64, por lo que proporciona 6 bits por carácter. Eso es más de 3.000 bits de datos. Codifique algo más pequeño (128 bits en bruto, 170+ en B64) y ahórrese el ancho de banda.

Para la segunda parte de su pregunta, consulte ¿Cómo es seguro un inicio de sesión HTTPS cuando las páginas usan HTTP? .

    
respondido por el Jeff Ferland 31.05.2013 - 22:02
fuente

Lea otras preguntas en las etiquetas

Implicación de la inyección de URL en un servicio de acortamiento de URL ¿Qué hay dentro de un ticket Kerberos TGT?