Qual é a melhor maneira de implementar "lembre-se de mim" em um site? [fechadas]

Quero que meu site tenha uma caixa de seleção na qual os usuários possam clicar para que não precisem fazer login sempre que visitarem meu site. Eu sei que precisarei armazenar um cookie no computador deles para implementar isso, mas o que deve estar contido nesse cookie?

Além disso, há erros comuns a serem observados para impedir que esse cookie apresente uma vulnerabilidade de segurança, o que poderia ser evitado enquanto a funcionalidade 'lembre-se de mim' ainda é exibida?

Prática recomendada aprimorada de cookie de login persistente

Você pode usar esta estratégia descrita aqui como melhor prática (2006) ou uma estratégia atualizada descrita aqui (2015):

1. Quando o usuário efetua login com o recurso Remember Me marcado, um cookie de login é emitido além do cookie de gerenciamento de sessões padrão.
2. O cookie de login contém um identificador de série e um token . A série e o token são números aleatórios indiscutíveis de um espaço adequadamente grande. Ambos são armazenados juntos em uma tabela de banco de dados, o token é hash (sha256 é bom).
3. Quando um usuário não conectado acessa o site e apresenta um cookie de login, o identificador de série é pesquisado no banco de dados .
   1. Se o identificador de série estiver presente e o hash do token corresponder ao hash desse identificador de série, o usuário será considerado autenticado . Um novo token é gerado, um novo hash para o token é armazenado no registro antigo e um novo cookie de login é emitido para o usuário (não há problema em reutilizar o identificador de série ).
   2. Se a série estiver presente, mas o token não corresponder, será assumido um roubo . O usuário recebe um aviso com palavras fortes e todas as sessões lembradas do usuário são excluídas.
   3. Se o nome de usuário e a série não estiverem presentes, o cookie de login será ignorado .

Essa abordagem fornece defesa em profundidade. Se alguém conseguir vazar a tabela do banco de dados, isso não dará a um invasor uma porta aberta para se passar por usuários.

Eu armazenaria um ID do usuário e um token. Quando o usuário voltar ao site, compare essas duas informações com algo persistente como uma entrada de banco de dados.

Quanto à segurança, apenas não coloque nada que permita que alguém modifique o cookie para obter benefícios extras. Por exemplo, não armazene seus grupos de usuários ou sua senha. Qualquer coisa que possa ser modificada que possa contornar sua segurança não deve ser armazenada no cookie.

Armazene seu UserId e um RememberMeToken. Quando eles se conectam com o recurso Lembre-me marcado, gera um novo RememberMeToken (que invalida todas as outras máquinas marcadas como Lembre-se de mim).

Quando eles retornarem, procure-os pelo token de lembrar-me e verifique se o UserId corresponde.

Investigando sessões persistentes, descobri que simplesmente não vale o risco à segurança. Use-o se for absolutamente necessário, mas você deve considerar essa sessão apenas fracamente autenticada e forçar um novo login para qualquer coisa que possa ter valor para um invasor.

O motivo é claro, é que seus cookies que contêm sua sessão persistente são tão facilmente roubados.

4 maneiras de roubar seus cookies (de um comentário de Jens Roland na página com @splattnebase em sua resposta):

1. Interceptando-o em uma linha não segura (detecção de pacotes / seqüestro de sessão)
2. Acessando diretamente o navegador do usuário (via malware ou acesso físico à caixa)
3. Lendo-o no banco de dados do servidor (provavelmente SQL Injection, mas poderia ser qualquer coisa)
4. Por um hack de XSS (ou uma exploração similar do lado do cliente)