javascript - 使用 httpOnly cookie 进行设备注册

Question

我有一个移动网站，作为安全措施的一部分，我希望用户“注册”他们的设备，这样我就可以限制用户可以访问该网站的设备数量。我的想法是，对于"new"设备，让它们通过双因素身份验证过程，并将服务器发送的 GUID 存储在 httpOnly cookie(通过 SSL)中，该 cookie 将保存 GUID。当用户访问网站并使用用户名和密码登录时，服务器会将该 cookie 与数据库中的用户记录进行比较，如果匹配，则让他们登录。

所以我的问题是:这是 httpOnly cookie 的有效/安全使用吗？我描述的“设备注册”方法有意义吗？

谢谢!

Answer 1

这将阻止临时用户在多个设备上使用您的服务，但很容易规避，因为他们可以将 cookie 复制到另一台设备。 HttpOnly flag 只是限制客户端脚本(例如 JavaScript)访问 cookie，它不会阻止用户自己访问 cookie 或在 cookie jar 中以任何方式强制对其进行加密。

您可以通过更多一点的工程设计来使您的解决方案发挥作用:为每个设备滚动 token 。我的意思是，它会在每次登录时为每个客户端提供一个新的设备 ID，并且此机制也会使旧的设备 ID 失效。这将导致拥有原始 Cookie 副本的第二台设备在没有单独注册且不计入您的设备限制的情况下无法再使用您的服务。

此外，根据所需的安全级别，使用 GUID 以外的其他内容可能会更好，因为它们可能是可预测的:

How secure are GUIDs in terms of predictability?

Are GUIDs safe for one-time tokens?