galletas Cifrado en PHP

Question

Cómo puedo cifrar y descifrar tarde un valor de una cookie en PHP (qué tan seguro será el cifrado)

Answer 1

No puedo simplemente pensar en una situación donde el cifrado de datos en la cookie es útil. Si desea conservar datos secretos sobre el usuario o sus preferencias, información, lo que sea, guárdelo en el servidor en archivos, en la sesión o en la base de datos, pero no en la computadora del cliente.

Por otro lado, si crea una autenticación, entonces debe usar sesiones en lugar de crear valores secretos de cookies cifradas. Las sesiones no se implementaron por nada, son el camino a seguir.

Answer 2

Hay

una variedad de maneras diferentes para cifrar la información en las cookies y otros lugares. La fuerza del cifrado variará según el método que elija para hacer el cifrado real. mycrypt es un buen lugar para comenzar. See this answer para ver un ejemplo del uso de mcrypt.

No recomiendo poner nada sensible en una cookie, incluso si va a ser encriptada. Demasiado tentador para que alguien se agriete. Intenta seguir las sesiones si puedes.

Answer 3

Estoy totalmente de acuerdo con las otras respuestas: si los datos son realmente delicados, se deben almacenar en el servidor en una sesión, no en una cookie.

En cuanto a las formas de encriptar los contenidos de la cookie, la extensión de PHP Suhosin proporciona la capacidad de transparently encrypt all cookies. Si tiene la capacidad de instalar extensiones de PHp, esto puede o no ser más fácil para usted que escribir su propio esquema de cifrado.

Answer 4

Si la cookie está cifrada de forma segura (por ejemplo, con un secreto almacenado en el servidor que cambia periódicamente), no veo ningún problema para almacenar datos útiles en la cookie. ¿Por qué almacenarlo en el servidor? Haga que el cliente trabaje para un cambio, especialmente si se trata de preferencias. ¿Por qué el servidor debe almacenar y recuperar constantemente datos de un archivo de sesión? ¿Qué sucede si tiene cientos de miles de usuarios golpeando su sitio? Ahora debe mantener cientos de miles de archivos de sesión.

Answer 5

Puedo pensar en un uso razonable para esto. Supongamos que tiene una granja de servidores grande, va a tener un cuello de botella en la base de datos y/o servidor de memoria para gestionar las solicitudes de sesión ... "¿este usuario está conectado?"

Si almacenara los datos de sesión de los usuarios como un valor encriptado en la cookie, puede evitar tener que hacer bastantes lecturas/escrituras y permitir un almacenamiento de cookies de tamaño ilimitado ya que hay 0 impacto en su lado que no sea la CPU vinculada para el cifrado/descifrado de los datos de la cookie.

Ruby on Rails lo hace de forma predeterminada, aunque solo firma los datos y no los encripta. Existe una implementación alternativa que encripta los datos con su propia clave y firma para que el usuario no pueda ver qué datos almacena en su sesión.