Входите! Аутентификация без логина и пароля, «запомнить меня»

[@TheShock]

а в чём проблема похитить и подставить одновременно token и series?

[@m_z]

похитить их все еще возможно да, но такое решение дает два преимущества (из статьи оригинала выделю их):
1. Атакующий получит доступ только на некоторое время
2. Жертва узнает об этом

Если не использовать series, то у похитителя будет свой remember me токен, который он может использовать когда угодно и жертва даже не будет
подозревать об этом.

[@TheShock]

может, в критических системах имеет смысл делать дополнительную проверку на основе айпи? то есть данная кука может работать только для определенного айпишника, для остальных она будет фейлить.
людям с динамическим айпи дать возможность отключить эту опцию.

[@m_z]

вариант с айпи не очень удобен, это значит что с работы, из дома и/или просто кафе пользоваться такой системой нельзя. Большая часть пользователей будет просто отключать ее от незнания или таких неудобств. я такой фичи даже в интернет банковских системах не вижу сейчас

[@TheShock]

для работы и её айпишника — один токен, для дома и его айпишника — другой.

например, при логине дома вносится в куку значение token + hash(ip);
на работе при логине тоже token + hash(ip);

если кто-то украл куку — первая чать будет совпадать, а вторая — сообщит о проблеме.

[@savostin]

А что будет, если пользователь попытается войти с чистого (чужого) компьютера?
Например, получил письмо со ссылкой-токеном в интернет-клубе.

[@dohlik]

Используем комбинацию токен + хэш от User-Agent.

[@m_z]

а почему для хэша выбран User-Agent? его узнать и подделать проще просто ведь?

[@Veterinar]

Не User-Agent, а хеш User-Agent-а. Он, можно сказать, уникален.

[@TheShock]

когда злоумышленник будет подделывать куки он полностью сэмитирует компьютер жертвы, в том числе юзер-агент и поддерживаемые фичи.
единственная неподделываемая информация о клиенте — это REMOTE_ADDR

[@Veterinar]

Имеется в виду не юзер-агент, а его хеш. Не могу что-то найти сейчас ссылку. В общем, это уникальная информация, зависит от версии ос, обновлений ос, установленных в браузере плагинов. Где-то даже сайт был о проверки браузера на уникальность. Уникальность в итоге выше, чем у отпечатков пальцев. И дело тут в том, что злоумышленник может и не понять что именно похищать. хэш-то в куки не хранится.

[@p0is0n]

Мммм… а как его получить «хеш User-Agent-а»?

[@Wott]

хэш от одинаковых данных будет идентичен

[@developer]

www.google.com/search?ie=UTF-8&hl=ru&q=Mozilla%2F5.0%20%28Windows%3B%20U%3B%20Windows%20NT%206.1%3B%20ru%3B%20rv%3A1.9.2.13%29%20Gecko%2F20101203%20Firefox%2F3.6.13

это мой Юзер агент

[@developer]

как видно их много, дадите ссылку на свой отпечаток пальца?

[@Veterinar]

Не то это. Я поищу.

[@dohlik]

Не, ну если злоумышленник имеет доступ к компьютеру «пациента», то конечно мало что спасет. Просто смысла вводить еще одну куку я не вижу.

Другое дело, что можно еще и REMOTE_ADDR прикрутить, как правильно ниже подсказывают…

[@YAAP]

Или комбинировать, REMOTE_ADDR + User-Agent.
В реальных условиях надо же смотреть на проект. Если это мелкий сайт, который не содержит важной информации — достаточно простой проверки куки. Если же речь идет о банковских сервисах (или ресурсах с важной информацией) — то лучше килять сессию как только поменялся браузер и\или REMOTE_ADDR.

Я, как пользователь, лучше еще раз введу логин\пароль, чем в один момент увижу, что у меня на счету 0 у.е. или даже минус…