Buena forma de crear un token seguro para los usuarios que han cerrado sesión

Question

Buena forma de crear un token seguro para los usuarios que han cerrado sesión

#1 de Xander (1 votos)

0

Trabajo para una empresa que tiene un mercado en la web. Queremos hacer un enlace con un token que detenga un anuncio en el mercado sin que el usuario haya iniciado sesión.

Alguien sugirió que hagamos un token de esto: base64urlencode (md5 ("salt-adid"))

adid es información conocida por el usuario.
sal es solo una palabra secreta.

Dado que esta es esta solución segura? El usuario puede conocer el adid.

¿Será posible que un usuario malintencionado calcule la URL para detener un anuncio?

¿Cómo se puede cambiar para que sea más seguro?

EDITAR: Xander señaló que algo no estaba claro y lo intentaré y elaboraré.

"No me queda claro por qué necesitas un token. ¿Esto es solo para algunos usuarios que han cerrado sesión en lugar de todos los usuarios que han cerrado sesión?"

No debería ser posible para ningún usuario detener el anuncio solo al propietario. Le enviaremos la url al propietario para que él / ella pueda usarla si quiere detener el anuncio. Así que es solo para algunos usuarios que han cerrado sesión.

hash salt md5 integrity

pregunta Anders 28.08.2014 - 15:38

fuente

1 respuesta

Lea otras preguntas en las etiquetas hash salt md5 integrity

¿Es posible inyectar información en el caché de sesión TLS de un cliente? Cifrado usando la clave privada en la criptografía basada en identidad

score 1 · Answer 1

Sí, si la "sal" es una palabra secreta, es posible que un usuario calcule el hash ejecutando un ataque de diccionario simple hasta que encuentre el hash correcto para su contenido.

No me queda claro por qué necesitas un token. ¿Esto es solo para algunos usuarios desconectados en lugar de todos los usuarios que han cerrado sesión?

En cualquier caso, si necesita proporcionarle al usuario un token que no puede duplicar, debe tener un código de autenticación de mensaje. Si no es secreto (lo que no parece ser, ya que usted dijo que el adid que el usuario ya sabe será suficiente), utilice un algoritmo MAC como HMAC para asegurarse de que no pueda manipularse o falsificarse.