ruby-on-rails - Rails 4 加密 Cookie 重放攻击

Question

我最近升级到 Rails 4 并切换到加密 cookie 作为 session 存储。不幸的是，这似乎意味着重放攻击是可能的，即如果用户注销，任何 cookie 都不会失效，并且可以在没有用户/密码的情况下用于身份验证。据我所知，这是加密 cookie 工作方式的一个缺陷(如果我错了，请赐教!)，所以我的问题是:是否有公认的解决方案来防止使用加密 cookie 进行重放攻击？

Answer 1

经过一些研究和一些修补，我想出了以下解决方案。

• 当用户登录时，创建一个随机 secret (随机的意思是后续 secret 应该具有较低的匹配概率)
• 将该 secret 存储在 session 中，即在 cookie 中，以及服务器端，我正在使用 Dalli gem 来提供 memcached 功能
• 在请求需要身份验证的页面时，从 cookie 中读取 secret ，并确保它存在于服务器端
• 注销时，从缓存中删除 secret ，因此使用相同 cookie 的任何后续请求都将失效

只要 cookie 不能被篡改，那么这应该是安全的。欢迎任何想法/评论