¿Dónde hay un lugar seguro para almacenar un "secreto" en un navegador web al que un usuario tiene acceso y JavaScript no?
El pensamiento estaba en la línea del historial web, marcadores, administrador de contraseñas integrado y amp; caché.
Editar:
Seguro: la cookie HttpOnly como se muestra a continuación es una opción, pero a menos que un usuario use un complemento (firebug), no puede acceder fácilmente a los datos, aunque el acceso es técnicamente posible.
Inseguro: el historial web no parece ser una tienda válida, ya que JavaScript tiene acceso a él.
No estoy seguro: marcador de navegador
Aclaración sobre el caso de uso:
- El usuario se registra para una aplicación web (nombre de usuario, contraseña), el servidor solo almacena el nombre de usuario y el amp; clave de cifrado resultante clave codificada.
- Usuario redirigido a una página de confirmación, con su clave codificada resultante de la frase de contraseña. (El almacenamiento seguro se aplica aquí).
- El usuario inicia sesión con su nombre de usuario, contraseña & Clave de contraseña codificada. Clave de descodificación de la contraseña que se utiliza para el cifrado.
Suposiciones:
- La contraseña está protegida usando un algoritmo de fortalecimiento de contraseña en una frase de contraseña.
- El almacenamiento debe ser opcional y su uso debe tener una manera de habilitar / inhabilitar. (Al usar Bookmark, esto podría ser tan simple como hacer clic aquí para marcar la frase de contraseña).
- No hay registro del lado del servidor en el inicio de sesión & páginas de confirmación. (Se desactivará el almacenamiento en caché)
- Todas las comunicaciones sobre SSL / TLS