Problema risolto Generare cookie random univoci

[Pinguto]

il mio problema attuale è il seguente:
volendo cedere un po di carta bianca ai fondatori di blog e forum sulla piattaforma che sto sviluppando, vorrei lasciar la possibilità di usare il javascript, ma visto e considerato che i siti avranno il login condiviso si presenta un problema sulla sicurezza non indifferente.

Tutti i siti avranno un dominio di terzo livello proprio, quindi onde evitare "furti di cookie" utilizzerò l'indirizzo

Perfavore, Entra oppure Registrati per vedere i Link!

per creare dei cookie di autenticazione casuali univoci per ogni sito ( ogni cookie generato sarà valido solo e soltanto per un determinato sottodominio, quindi rendendo vani i furti di identità al di fuori del sito in cui sono stati rubati i cookie )

Ma avete idee su come poter generare il contenuto del cookie di autenticazione?

Io inizialmente avevo pensato di creare dei cookie contenenti i seguenti campi criptati in MD5: Nome del sito, ip dell'utente alla creazione del cookie, timestamp ( in millisecondi ) alla creazione del cookie e id dell'utente.

Ma non so, non mi ispira come "sistema di sicurezza", quindi avete delle idee migliori?

è che temo che nel database si possano verificare dei "login doppi"..

@ebello @Kaito @AAmin @Alethebest17 @ptm

 

[ptm]

Riferimento: Generare cookie random univoci

L'md5 come tutti gli algoritmi di hash non esclude che possano avvenire collisioni (per quanto rare possano essere)... potresti tenere una tabella nel db con tutte gli id dei cookies, generare la tua stringa fatta con l'hash delle varie variabili che hai elencato, poi fai una select per vedere se esiste già la stessa stringa; se non c'è sei apposto, se esiste puoi fare l'hash dell'hash e coisì via fino a quando non trovi una stringa unica...

 

[Kaito]

Riferimento: Generare cookie random univoci

Se li cripti in MD5 non potrai mai sapere cosa c'è dentro...

Potresti usare invece base64_encode e base64_decode

 

[Pinguto]

Riferimento: Generare cookie random univoci

@Kaito non mi interessa se il processo sarà irriversibile, tanto i dati verranno salvati anche sul database..
L'obbiettivo è impedire al "ladro" di risalire ai dati di autenticazione originali..
@ptm ti devo esser sincero: non avevo valutato all'eventualità di ricriptare nuovamente la stringa nel caso in cui fosse già presente ( nella speranza che non si verifichino eventuai loop ), ma così facendo dovrei risolvere.. :-D

Farò dei test e se avrò nuovamente dei problemi aprirò una nuova discussione.. :chiuso:

Grazie ad entrambi..

 

[Kaito]

Riferimento: Generare cookie random univoci

Beh per il controllo basta un while..

Comunque segno come risolto ^^