Almacenamiento de una cookie cifrada con Rails

Question

Necesito almacenar una pequeña porción de datos (menos de 10 caracteres) en una cookie en Rails y necesito que sea segura. No quiero que nadie pueda leer ese dato o inyectar su propia información (ya que eso abriría la aplicación a muchos tipos de ataques). Creo que el encriptado del contenido de la cookie es el camino a seguir (¿debería firmarlo también?). ¿Cuál es la mejor manera de hacerlo?

En este momento estoy haciendo esto, que parece seguro, pero muchas cosas parecían seguras para las personas que sabían mucho más que yo sobre seguridad y luego se descubrió que no era realmente seguro.

estoy ahorrando el secreto de esta manera:

encryptor = ActiveSupport::MessageEncryptor.new(Example::Application.config.secret_token) 
cookies[:secret] = { 
    :value => encryptor.encrypt(secret), 
    :domain => "example.com", 
    :secure => !(Rails.env.test? || Rails.env.development?) 
} 

y luego lo estoy leyendo la siguiente manera:

encryptor = ActiveSupport::MessageEncryptor.new(Example::Application.config.secret_token) 
secret = encryptor.decrypt(cookies[:secret]) 

¿Eso es seguro? ¿Alguna mejor forma de hacerlo?

actualización: lo que sé de la sesión de Rails y cómo es seguro, tanto mediante la firma de la cookie y opcionalmente mediante el almacenamiento de los contenidos del lado del servidor sesión y hacer uso de la sesión por lo que es para. Pero mi pregunta aquí es sobre el almacenamiento de una cookie, una información que no quiero en la sesión, pero aún necesito que sea segura.

Answer 1

Estoy volviendo a publicar la respuesta de JacobM, que eliminó, porque era la respuesta correcta y me indicó la dirección correcta. Si lo deshace, lo eliminaré y elegiré el suyo como la mejor respuesta.

En primer lugar, si se utiliza en lugar de encrypt_and_verifyencrypt se firmar la cookie para usted.

Sin embargo, cuando se trata de seguridad, siempre prefiero confiar en las soluciones que han sido examinadas en público, en lugar de hacerlas mías. Un ejemplo sería el encrypted-cookies gem.

Answer 2

• creando una cookie segura

  cookies.signed[:secret] = { 
  :value => "foo bar", 
  :domain => "example.com", 
  :secure => !(Rails.env.test? || Rails.env.development?) 
  } 
  

• Acceso a la cookie

  cookies.signed[:secret] # returns "foo bar" 
  

La cookie se firma usando ActionController::Base.cookie_verifier_secret. Puede configurar el cookie_verifier_secret en el archivo de inicializador.

Answer 3

Como dice KandadaBoggu, parece que lo que desea es una variable de sesión, y las variables de sesión se cifran y almacenan de forma predeterminada en las cookies. Sin embargo, si usted tiene un vistazo a los contenidos de config/initializers/session_store.rb encontrará algo como lo siguiente:

# Be sure to restart your server when you modify this file. 
MyRailsApp::Application.config.session_store :cookie_store, :key => '_my_rails_app_session' 

# Use the database for sessions instead of the cookie-based default, 
# which shouldn't be used to store highly confidential information 
# (create the session table with "rails generate session_migration") 
# MyRailsApp::Application.config.session_store :active_record_store 

¿Qué me sugiere que se debe utilizar la base de datos para las sesiones en lugar de la opción predeterminada basada en cookies, que no deben' t se usará para almacenar información altamente confidencial. La migración precocida hace que todo sea realmente fácil de configurar, por lo que hay muy poco sobrecarga, y una vez hecho, básicamente no hay gastos generales si necesita agregar una nueva información secreta en una fecha posterior.