Autenticação via cookies

[CASilva]

boa tarde caro colegas

Estou inicializando em php e tenho dúvidas sobre autenticação (login/senha) através de cookies, gostaria de saber se o método é seguro, caso não, qual é o mais recomendado.

[Marcus Nunes]

Eu recomendo usar sessions.

Cookies não são tão seguros, mas tem suas vantagens. Depende do tipo de projeto. :D

[CASilva]

Eu recomendo usar sessions.

Cookies não são tão seguros, mas tem suas vantagens. Depende do tipo de projeto. :D

Estou desenvolvendo um portal na empresa, Intranet.

Você pode ser um pouco específico, sou iniciante e ainda não consigo diferenciar os 2 métodos (Sessions e Cookies)

[CASilva]

Agradeço ao Juliano Niederauer (http://www.niederauer.com.br) que respondeu minha dúvida por e-mail (julianozn@terra.com.br).

"Olá Celso,

Sim, costumo utilizar tanto autenticação via cookies como por sessões, os dois métodos são seguros. Talvez por sessões seja ainda mais seguro, pois os dados são armazenados no próprio servidor, e não na máquina-cliente."

[Norivan Oliveira]

Bom quanto ao o que o Juliano falou... deve ter sido algum ajudante dele ou coisa assim que respondeu seu e-mail, pois isso que 'ele' disse nem juninho faz.

Cookie é usado para guardar preferencias de usuários e demais dados não tão importantes, nada além disso.

Autenticar um usuário apenas por cookie não é o mesmo que pedir "por favor invadam as contas dos meus clientes!!!!"

É usual até mesmo guardar em cookie o tempo que o usuário vai ficar logado no site, para a sessão não expirar, mas login por cookie, só por cookie não é certo.

Imagine que você faça um sistema para o presidente da republica se comunicar com o ministro da defesa, faz um login por um cookie chamado login_do_presidente, se alguém, vamos supor que seja o bin laden, copia o cookie do computador do presidente da republica?? autentica no seu sistema como se fosse o presidente da republica e mandar explodir as duas torres que estão em brasilia... seguro né?!

Se você quiser um sistema realmente seguro use sessão codificada ou metodos mais fortes que podem ser obtidos através de extensões o PECL e alguns frameworks como o ZF.

Dê uma lida nesta discursão sobre segurança e sessions também, vai te ajudar.

Você pode até usar cookie para obter uma verificação redudante, mas não uma verificação unica.