Encrypting Cookies in PHP

Question

Wie ich verschlüsseln kann und später einen Wert eines Cookies in PHP entschlüsseln (wie sicher ist die Verschlüsselung sein)

Answer 1

Ich kann nicht einfach an eine Situation denken, in der die Verschlüsselung von Daten im Cookie nützlich ist. Wenn Sie vertrauliche Daten über den Benutzer oder seine Voreinstellungen, Informationen usw. speichern möchten, speichern Sie diese auf dem Server in Dateien, in der Sitzung oder in der Datenbank, nicht jedoch auf dem Computer des Clients.

Wenn Sie dagegen eine Authentifizierung erstellen, sollten Sie Sitzungen verwenden, anstatt verschlüsselte verschlüsselte Cookie-Werte zu erstellen. Sitzungen wurden nicht für nichts implementiert, sie sind der Weg zu gehen.

Answer 2

Es gibt eine Vielzahl von verschiedenen Möglichkeiten, Informationen in Cookies zu verschlüsseln und anderswo. Die Stärke der Verschlüsselung hängt von der Methode ab, die Sie für die eigentliche Verschlüsselung gewählt haben. mycrypt ist ein guter Anfang. See this answer für ein Beispiel der Verwendung von Mcrypt.

Ich empfehle nicht, etwas sensibles in einen Cookie zu setzen, auch wenn es verschlüsselt werden soll. Viel zu verlockend für jemanden zu knacken. Versuchen Sie, bei Sitzungen zu bleiben, wenn Sie können.

Answer 3

Ich bin voll und ganz einverstanden mit den anderen Antworten: Wenn die Daten wirklich empfindlich sind, sollte es serverseitig in einer Sitzung gespeichert werden, nicht in einem Cookie.

Soweit Möglichkeiten zum Verschlüsseln von Cookie-Inhalten bietet die Suhosin PHP-Erweiterung die Möglichkeit transparently encrypt all cookies. Wenn Sie die Möglichkeit haben, PHP-Erweiterungen zu installieren, ist dies möglicherweise einfacher für Sie als das Schreiben eines eigenen Verschlüsselungsschemas.

Answer 4

Wenn der Cookie sicher verschlüsselt ist (zum Beispiel mit einem Server-gespeicherten Geheimnis, das sich regelmäßig ändert), sehe ich kein Problem beim Speichern nützlicher Daten im Cookie. Warum auf dem Server speichern? Sorgen Sie dafür, dass der Kunde etwas für eine Veränderung tut - vor allem, wenn es sich um Vorlieben handelt. Warum sollte der Server Daten aus einer Sitzungsdatei ständig speichern und abrufen müssen? Was passiert, wenn Hunderttausende von Nutzern Ihre Website stopfen? Jetzt müssen Sie Hunderttausende Sitzungsdateien verwalten.

Answer 5

Ich kann eine vernünftige Verwendung dafür denken. Angenommen, Sie haben eine große Serverfarm, haben Sie einen Engpass auf der Datenbank und/oder dem memcached Server für die Behandlung von Sitzungsanforderungen. "Ist dieser Benutzer angemeldet?"

Wenn Sie die Sitzungsdaten des Benutzers als verschlüsselten Wert im Cookie speichern, können Sie verhindern, dass Sie einige Lese-/Schreibvorgänge ausführen müssen und einen unbegrenzten Cookie-Speicher zulassen, da es 0 Auswirkungen auf Ihre Seite hat anders als CPU-gebunden für die Verschlüsselung/Entschlüsselung der Cookie-Daten.

Ruby on Rails tut dies standardmäßig - obwohl es nur die Daten signiert und nicht verschlüsselt. Es gibt eine alternative Implementierung, die die Daten mit einem eigenen Schlüssel und einer eigenen Signatur verschlüsselt, sodass der Benutzer nicht sehen kann, welche Daten in seiner Sitzung gespeichert werden.