¿Puede mi aplicación web implementar el inicio de sesión de usuario y permanecer sin estado?

Question

Tenemos una aplicación web que no tiene estado. Estamos utilizando http autenticación a través de SSL/TLS. Los navegadores del usuario son que presumiblemente almacenan credenciales de autenticación (posiblemente incluso después de que el navegador se apaga si configuran sus navegadores de esa manera). Validamos en cada acceso.

Por razones que principalmente tienen que ver con la usabilidad, nos gustaría para dejar de usar la autenticación http. ¿Existe una forma razonable de para implementar el inicio de sesión de usuario y

• Permanecer sin estado.
• No requiere que los usuarios vuelvan a escribir las credenciales en cada acceso.
• Sea al menos tan seguro como la autenticación http sobre SSL/TLS.

Por ejemplo, estamos dispuestos a utilizar cookies, y podríamos almacenar el nombre de usuario y la contraseña como una cookie. Sin embargo, esto parece menos seguro . ¿Pero es? Si utilizamos una cookie no persistente, ¿es menos seguro que cualquier otro método que utilice un navegador para almacenar las credenciales durante la sesión o más?

Podríamos almacenar el nombre de usuario y un hash de la contraseña como se sugiere aquí: What should I store in cookies to implement "Remember me" during user login ¿pero es eso mejor?

Podríamos almacenar un token aleatorio como una cookie, pero luego tenemos que mantener una tabla de búsqueda (sesión) en el servidor y convertirnos en con estado.

Podríamos almacenar una versión encriptada de las credenciales como una cookie y luego descifrar y validar en cada acceso. Este parece como que es un poco más seguro que la autenticación http y tampoco requiere estado. Sin embargo, estoy no estoy seguro de que desee la sobrecarga adicional de descifrado. ¿Y es realmente más seguro? Si alguien obtiene una copia de la cadena encriptada (o hash, como arriba), ¿no les da el mismo acceso como si tuvieran la contraseña?

lo agradecería sus pensamientos, pero vamos a empezar con la suposición de que autenticación HTTP sobre SSL/TLS es seguro suficiente para nuestros propósitos y queremos permanecer sin estado.

EDITAR

Después de algunas investigaciones más, creo que esta pregunta StackOverflow: Client side sessions plantea el problema mucho mejor, y las respuestas son relativamente mejor así. Gracias a todos por su aporte.

Answer 1

No veo un token aleatorio como más o menos sin estado que un nombre de usuario y contraseña.

Ambos deben buscarse en alguna forma de base de datos. Su aplicación ya tenía estado. El estado de ser autenticado o no autenticado.

El nombre de usuario y la contraseña que se estaban enviando eran exactamente los mismos que un token aleatorio.

Así que mi respuesta a su pregunta es No. Una aplicación web no puede implementar ninguna forma de autenticación de usuario y permanece sin estado.

Answer 2

Es posible que desee buscar en PHP sessions como una alternativa a las cookies.

Puede iniciar una sesión con una sola llamada al session_start().

Desde allí puede almacenar los datos que desee sobre el usuario con la matriz global $_SESSION.

Esto no tiene en cuenta CÓMO va a autenticar usuarios en primer lugar. Esto se hace generalmente buscando hashes almacenados de nombres de usuario/contraseñas en una base de datos.

Answer 3

En un sistema cerrado (intranets de la compañía, o simplemente un sitio normal pero con una pequeña y decente cantidad de gente inteligente) sería preferible validar por certificado SSL. Emita un certificado para cada usuario, permítales instalarlo en sus navegadores, y puede revocar el acceso para ese certificado en cualquier momento (vea por ejemplo el sistema de identificación ssl-cert de myopenid.com (lamentablemente con error).

Se requeriría algo de trabajo por parte de los usuarios, y si eso no es posible/deseable, una cookie-token sería mucho más preferible, y si busca un combo user/passwd o un token de cookie no debería hacer tanto una diferencia