Er cookies sikre?

Intentionen var at de skulle være 100% sikre.

I praksis er der et par "huller" i sikkerheden, fx: http://www.peacefire.org/security/jscookies/

Så alt ialt vil jeg anbefale at du ikke gemmer følsom information i cookies.

Ikke bare derfor, men også fordi at "adgang til computeren" nok er det største og mest benyttede sikkerhedshul der findes.

mvh JakobA

Hvis jeg forstår det problem ret som beskrives i linket så er det jo kun et problem og et hul man kan udnytte ved bruger der benytter Netscape Communicator 4.x.

Når jeg derfor sider med IE 6.0 så er der vel ingen mulighed for at man kan gå ind og læse hvad der er i mine cookies eller hvad?

Eksperten køre jo også med cookies. Hvis man vælger at eksperten automatisk skal logge mig på fremover så gemmes der jo en cookie på computeren. Er denne cookie ikke sikker nok?

Der er også huller i IE security. Det er derfor de laver alle de der security updates hele tiden.

om ekspertens auto-login cookie er 'sikker nok' afhænger af flere ting:
hvor vigtig er egentlig den info der gemmes?
    Ja det er surt hvis en anden logger ind som mig og får mig til at ligne
  et fjols, men det er ikke verdens undergang. Men hvis andre logger ind på
  min bank og begynder at overføre penge så er den rigtig gal.
Hvilken info er det der gemmes?
    Jeg har ikke checket, men hvem siger at password og brugernavn står i
  ekspertens cookie? Det kunne evt blot være et id nummer der peger ind i
  en database på serveren. Og som ikke lukker op førend den har sikret sig
  at fx browser profilen også er de samme som da den cookie blev gemt.

mvh JakobA

Det er et brugernavn og brugerkode jeg vil gemme.

Ekspertens cookie indeholder ikke password og brugernavn men en værdi. Men dette er vel ikke mere sikker end at have brugernavn og brugerkode i cookien eller hva?

Hvis man lagre en værdi i en cookien og så checker den med en database hvordan kan man så være sikker på at cookien ikke bare er kopieret og flyttet til en anden computer?

En måde man kan gøre det er ved at checke browser-profilen som jeg nævnte.
  Hvilken version browser benyttes, hvilket buildnummer har den. hvilket styrestystem kører den under. hvilke plugins er der og hvilke versioner har de plugins. Alt det kan aflæses og giver en rimeligt (men stadig ikke 100%) identifikation af computeren.

mvh JakobA

Så vil det da være en del bedre at aflæse computerens MAC Address. Er dette muligt via javascript eller noget?

Ja det ville være bedre, men det er ikke muligt uden at hacke sig ind i lokalnettet eller brugerens computer. og det skal man så også gøre hvergang der skal checkes.

For et år eller halvandet siden laved Intel en version af Pentium med et indbygget ID nummer, Der blev et ramaskrig, indtrængen i privatlivets fred, overvågning af hvor folk rejser hen med deres laptop, osv osv. Muligheden findes vist stadigvæk; men ingen bruger det.

mvh JakobA

Det er vist blevet lukke tid ... jakoba vil du have point så smid et svar!

ok. takker