Bezpečnosť COOKIE

Mám otázku:
myslíte si že cookie ktoré by obsahovalo tieto parametre:
Nick (použivateľa)
Heslo (použivateľa) zaheslované (lepšie zaheslované)

je bezpečné?

Pockaj, ako konkretne to chces pouzit? Nejak mi nedochadza, naco ukladat heslo do cookies

no to nedochádza ani mne jediný dôvod, prečo dávať do cookies heslo efektivita práce jak delo...

keď prídeš na stránku aby ťa prihlásilo automaticky

ale preto tam chceš ukladať jeho heslo ??? to sa predsa nerobí takto že uložíš do cookie jeho osobné údaje...

a ako sa to robí? - nemám s tým skúsenosti zatiaľ ...

nepozeral som to podrobne, ale skús kuknúť sem..
http://www.devshed.com/c/a/PHP/Creating ... in-Script/

našiel som na nete riešenia aj s tým, že uložíš aj to heslo jak si spomínal, ale nepripadá mi to vôbec bezpečné, neviem.. možno sa mýlim, nikto nie je neomylný

no ja to aspon riesim tak ze so session ulozim iba nick a potom kontrolujem ci existuje to session takze tam to heslo vobec nemusi byt pretoze heslo sa kontroluje uz hned vlastne session sa so zlym heslom nevytvori takze tak
//
http://www.phpeasystep.com/workshopview.php?id=6
osobne si myslim ze tato stranka jeeste lepsie teda lahsia na pochopenie

no ja by som uložil nick a istým spôsobom zakódované MD5 ... teda nech by sa snažili "hackeri" akokoľvek tak by museli zistiť algoritmus a následne získajú MD5 ...

tým pádom by to bolo "nezraniteľné"

ale aj napriek tomu si idem pozrieť tie linky lebo ma to zaujíma ...

takže el mariachi - zaujímavý článok ale dosť obšírny ... (dik za snahu)
dadmtb - nerieši to môj problém

ja so mbol dopletený, čo vlastne chceš, keď som začal čítať príspevok od dadmtb

takže, ty vlastne chceš automatické prihlásenie, nie?

Ja som to robil tak, že do tabuľky som si k userovi dal stĺpec last. Tam som vždy pri prihlásení uložil md5 náhodne vygenerovaného reťazca a uložil ho do DB (stĺpec last ). Užívateľovi som odoslal cookies s md5 toho reťazca a nickom. Keď prišiel na stránku, kontroloval som či má cookies, ak áno skontroloval som podľa nicku ten reťazec v md5. Ak sa zhodoval, príhlásil som ho a vygeneroval nový reťazec, ktorý som odoslal v cookies.

Neviem či som na dačo zabudol, ale toto by ti malo dať nejakú predstavu o tom čo chceš robiť - ak to vlastne potrebuješ, lebo mám z toho vážne guláš

a uz si pocul o rainbow tables?

Pre všetkých na emerov podnet:
Robím automatické prihlásenie na stránku ... teda uživateľ príde na stránku prihlási sa, odíde a keď príde druhý krát, je automaticky prihlásený.

Ako som to chcel riešiť: chcel som poslať nick aj so algoritmom upraveným heslom do cookies

Čo som sa pýtal: Či je takýto zápis bezpečný -> myslím si, že je ale nebol som si istý

emer: áno to práve riešim, trafil si , dik za spôsob, pouvažujem (ešte ma zaujímajú ostatný)

niesom expert, ale potom staci ukradnut cookies, a mam uzivatelove meno a heslo.. spravim si vlastne cookies a viem sa pod nim prihlasovat, (heslo nemusim vediet, staci ked ma to prihlasi) a potom si uz v uzivatelskom nejakom panely, zmenim heslo na ake chcem a ucet je moj....
(faza: ako ukradnut cookie a ako ho nahodit k sebe - netusim, ale mozno je to mozne )

Ja by som navrhoval emerov sposob, mozno by som porovnaval aj IP adresy a browser.. (vacsina userov pouziva 1 browser) akurat problem je dynamicka IP adresa.. samozrejme, menia sa len posledne cislice, mozes porovnavat ich zaciatok...

Ale ja len nahlas uvazujem

ze sa po ukradnuti cookie dokazes prihlasit je jedna vec a pravda. heslo ale bez znalosti hesla nezmenis hadam nikde.

su portaly, kde vies v poho zmenit emailovu adresu a potom pomocou Zabudol som heslo, vyziadat si nove ..... neviem jak to ma Tominator riesene...

suchy: nie nepočul som, pozeral som stručne na wikipedií ale vôbec som nepochopil

BS: áno viem že sa dá napr. cez XSS útok získať COOKIES avšak dám príklad:

tvoje heslo v MD5 rozdelím na polovicu k druhej polovice pridám pár svojích znakov a znova zakódujem do MD5, keby som chcel ešte môžem prirátať prvú polovicu pôvodného kľúča.

mám tvoj nick a "heslo" v 48 znakoch ...
keby si prišiel na stránku tak podla nicku prerátom heswlo a skontrolujem s tým čo máš v session ak sedia tak ťa prihlási ...

ked pridem na stranku, session nemam ziadne, tak s cim to porovnavas vlastne?

sorry s cookies ...