使用httpOnly cookie進行設備注冊

Question

我有一個移動網站，作為我的安全措施的一部分，我希望用戶“注冊”他們的設備，因此我可以限制用戶可以訪問該網站的設備數量。 我的想法是，對於“新”設備，讓它們通過雙因素身份驗證過程，並將服務器發送的GUID存儲在將保存GUID的httpOnly cookie（通過SSL）中。 當用戶訪問該站點並使用他們的用戶名和密碼登錄時，服務器會將該cookie與他們在數據庫中的用戶記錄進行比較，如果匹配則讓他們登錄。

所以我的問題是：這是httpOnly cookies的有效/安全使用嗎？ 我為“設備注冊”描述的方法是否有意義？

謝謝！

Answer 1

這將阻止臨時用戶使用您的服務使用多個設備，但是很容易規避，因為他們可以將cookie復制到另一個設備。 HttpOnly標志只是限制JavaScript等客戶端腳本訪問cookie，它不會阻止用戶自己訪問cookie或以任何方式強制加密cookie。

您可以通過更多工程設計來使解決方案正常工作：為每個設備滾動令牌。 我的意思是它會在每次登錄時為每個客戶端提供一個新的設備ID，這種機制也會使舊的無效。 這將導致第二台具有原始cookie副本的設備無法再使用您的服務而無需單獨注冊並計算設備限制。

此外，根據所需的安全級別，使用GUID以外的其他內容可能更好，因為它們可能是可預測的：

GUID在可預測性方面有多安全？

GUID對一次性令牌是否安全？