[問題] 使用session安全嗎?

[sing10407 (阿U)]

使用Session當成登入狀態好像是滿常實作的

比如說用session紀錄我的user id ,

然後此網頁當要取得我資料時 ,

就使用我的user id session 當key下去搜尋我的資料



而 Session 在產生後，

會在client browser 產生一個cookie來對應到server的session(有錯誤請指正)

請問browser的cookie會容易被偽造 而使駭客使用別人的session登入網站嗎?


還是大家有沒有什麼建議的設計方式?


謝謝


--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 111.246.218.107
→ danny8376:cookie很容易修改啊 所以現在才會全HTTPS(雖然不完全是
→ danny8376:不過要是你登入資料塞cookie更危險就是
→ danny8376:你可以另外去驗證session合法性 像是IP之類的
推 jenesis:cookie變造超簡單的 就只是一個string而已...
→ a926:額外用一組seesion當成本次連線的token. token用RSA之類的
→ a926:演算法加密。這樣只有你有key才能解密。(沒外流的話)
推 inker610566:堵好xss偷cookie的洞不是就很安全了嗎
→ inker610566:session也有時效性應該不可能偷到就用一輩子吧
→ inker610566:還有一樓https防MIMA但偽造session真有可能？
→ TonyQ:沒有 https 的話 還是可能在公用網路被 network sniffer 偷
→ danny8376:樓樓上 我啥時說偽造session了... 只要偷到cookie
→ danny8376:沒特別處理過的 就能直接拿來用了
→ danny8376:另外session確實會有時效性 不過重點是偷到後能做的事