세션 쿠키에 관한 Ruby on Rails 보안

Question

내 앱에는 User 모델이 있고 rememberable_token 열이 있습니다. 사용자를 생성 할 때, 임의의 보안 문자열은 사용자에 대한 보안 토큰으로서 작용하는 before_create 필터에 저장된다 : 세션 제어기

user.rememberable_token = SecureRandom.urlsafe_base64 

, 그 때문에 그 토큰의 값에 영구 쿠키를 생성

세션 컨트롤러 :

def create 
    . 
    . 
    cookies.permanent.signed[:permanent_user_session] = user.rememberable_token 
end 

def logout 
    cookies.delete :permanent_user_session 
    redirect_to root_url 
end 

공동 그들이 logout 작업을 통해 로그 아웃 할 때 사용자가 로그 아웃됩니다 만 브라우저를 닫을 때 로그 아웃 및되지 않습니다 okie는 응용 프로그램 제어기에서 현재 사용자가 있는지 판별하고 일부 제어기에서 사용자가 로그인되어 권한이 있는지 판별하는 데 사용되는 before_filter에 사용됩니다.

응용 프로그램 컨트롤러 :

def current_user 
    @current_user ||= User.find_by_rememberable_token(cookies.signed[:permanent_user_session]) if cookies.signed[:permanent_user_session] 
end 

def authorize 
    unless User.find_by_rememberable_token(cookies.signed[:permanent_user_session]) 
    render :action => 'login' 
    end 
end 

이 안전하거나 세션 하이재킹하는 경향이 경우 경우 문제는? 하이재킹이 발생하기 쉬운 경우 session#logout 메서드에서 기존 쿠키를 삭제하기 직전에 사용자에 대한 새로운 rememberable_token을 만들었지 만 (해당 값으로 새 쿠키를 만들지는 않은 경우) 괜찮습니까?

감사합니다.

Answer 1

사람이 쿠키를 훔치는 경우,이 코드 :

def current_user 
@current_user ||= User.find_by_rememberable_token(cookies.signed[:permanent_user_session]) if cookies.signed[:permanent_user_session] 
end 

여전히 작동합니다. 로그 아웃 방법에서는 사용자 테이블에서 토큰을 삭제하고 로그인시 다시 작성해야합니다.

기본적으로 생성시 수행해야하는 작업은 로그인 할 때마다 수행해야하며 각 로그 아웃시 되돌려 야합니다.

Answer 2

아마이 작업을 수행 할 것 : 세션에

작성 : 세션에

random_string = SecureRandom.urlsafe_base64 
cookies.permanent.signed[:permanent_user_session] = random_string 
user.rememberable_token = Digest::MD5.hexdigest(random_string) && user.save 

파괴 : 응용 프로그램 컨트롤러에서

cookies.delete :permanent_user_session 

:

def current_user 
    @current_user ||= User.find_by_rememberable_token(Digest::MD5.hexdigest(cookies.signed[:permanent_user_session])) if cookies.signed[:permanent_user_session] 
end 

def authorize 
    unless @current_user 
    render :action => 'login' 
    end 
end 

이를 너는 ~이야. 토큰의 해시를 추적하고 새 로그인이 새로 생성 될 때마다 새로 생성됩니다 (모든 로그 아웃마다 만료 됨). Rails는 CSRF를 다루지 만 장기적인 세션은 좋은 생각이 아닙니다.