5

Pensando em segurança, qual é a melhor opção para manter o usuário logado em uma aplicação ASP.NET MVC, o cookie ou a session?

4
  • 5
    A session utiliza os cookies. Trabalham em conjunto, session no servidor e cookie no client. 7/03/2016 às 14:20
  • 2
    Não entendi bem os negativos, mas tanta melhorar a pergunta pra ver se reverte.
    – Maniero
    7/03/2016 às 14:28
  • Eu não negativei, mas marquei como duplicata, pois apesar de ambas perguntas serem diferentes, ainda sim a as respostas lá pt.stackoverflow.com/a/115198/3635 já explicam o porque uma ser supostamente mais segura que a outra, no entanto se discordar pode comentar aqui o seu ponto de vista :) 8/03/2016 às 16:11
  • Jedaias, por gentileza, de uma olhada na minha resposta. Sessions do ASPNET não são uma boa, e ter marcado como resposta certa pode induzir outros à seguirem por um caminho ruim. 11/03/2016 às 13:51

2 Respostas 2

16

Seguro é fazer certo. É dominar o assunto, conhecer todas as possíveis vulnerabilidades de cada mecanismo, saber quando e para que pode ser usado. Depende de cada caso.

Está usando SSL? Isto faz diferença na segurança.

Qual é mais seguro

De qualquer forma eu prefiro sessões porque ela não fica armazenada no navegador. O cookie pode ser adulterado ou capturado. Mas dependendo de como ele for usado não tem problemas. Só nunca coloque informação sensível em um cookie.

Há controvérsias se deve usar um cookie para manter um usuário logado ou não, muitos sites importantes o fazem. Em tese é perigoso, mas é um perigo calculado e a segurança do usuário é que pode ser comprometida, não a segurança da aplicação web. Obviamente que não dá para tornar seguro algo que você não tem controle, então se realmente é necessário, não deixe o usuário "logado" por um mecanismo de controle no navegador.

Uma sessão pode usar um cookie para mantê-la ativa (depende da implementação, a atual usa). Ela se encarrega de fazer o que é necessário para manter a segurança dele, já tem um padrão comprovado de segurança. É uma forma mais abstrata de cuidar da segurança. Claro que ainda é necessário tomar alguns cuidados.

A sessão mantêm dados do lado do servidor, o que é uma enorme vantagem em relação aos cookies puros.

Eu vejo algumas pessoas dizerem para usar cookies e não session. Mas depende pra que será usado. As pessoas que tem experiência com isso vivem usando sessões. Claro que elas o fazem sabendo como usar, conforme eu disse logo no início.

É possível usar o ASP.NET Identity que é outra camada de abstração para obter um mecanismo de controle de sessão (sim, tem um controle de sessão embutido nela), entre outras coisas.

No fundo tudo usa cookie, é só escolher a camada de abstração que deseja.

Eu jamais diria para usar um ou outro sem saber o caso específico. Não vou aplicar uma "boa prática" geral. Cada mecanismo tem sua utilidade, vantagem e desvantagem. E principalmente não diria para não usar alguma coisa a não ser que exista um fato claro para não usar, se, por exemplo, o fornecedor tornou obsoleto e deu uma boa razão para não usar mais aquilo. O que não é o caso dos mecanismos citados na pergunta.

O assunto específico sobre o funcionamento e diferença entre os dois mecanismos já foi amplamente respondido aqui no SOpt. A pergunta não pede e não vou entrar em detalhes, afinal ela é mais específica. Por exemplo: Qual a diferença entre Sessions e Cookies.

Coloquei no GitHub para referência futura.

8
  • 1
    no caso do login sem ssl , se um man in the middle rouba o cookie geralmente ele leva junto a sessão
    – John Diego
    7/03/2016 às 16:14
  • @JohnDiego isso mesmo.
    – Maniero
    7/03/2016 às 16:25
  • Não precisa nem de man in the middle, se for uma rede difusa como WIFI. Lembrando que nada é 100% seguro, existem técnicas capazes de roubar até mesmo com SSL. 8/03/2016 às 12:47
  • 1
    @Daniloloko Sim, tem várias formas. Se bem que eu acho que o que você citou não deixa de ser um MITM.
    – Maniero
    8/03/2016 às 12:55
  • 2
    @tayllan é que você disse que ela está correta, então o negativo ficou incoerente.
    – Maniero
    8/03/2016 às 15:02
-4

Use o ASPNET Identity para gerenciar a autenticação do seus usuários. Ele já prevê vários quesitos de segurança e é super fácil de trabalhar com ele.

O ideal é usar cookie para gravar informações que não sejam de segurança. Por exemplo, preferencias do usuário, últimas páginas ou produtos vistos, quando esteve no seu site pela última vez - para um controle de contador de acesso, talvez.

E, se tratando de web, NÃO USE SESSION.

  • Sessions são alocadas no Pool do IIS: quando a memória do AppPool é reciclada, seus dados armazenados em Session são liberados;
  • Sessions são de acesso exclusivo: Sempre que se realiza um acesso à Session, todo pipe de execução é travado até que o acesso seja finalizado. Então, vc consegue ter apenas um acesso ao Session por vez. Imagine isso com vários usuários conectados simultaneamente.
  • Session não são escaláveis: Como ela é alocada no AppPool, se hospedado em servidores escaláveis, essa informação não irá ser compartilhada entre outros hosts. Então se sua app usa Session, não é possível escalar horizontalmente.

Por isso usamos Cache ao invés de Session. E também é por tudo isso que existe várias soluções de Cache no mercado hoje.

Só não esqueça que Cache é compartilhado por toda aplicação. Então, se for fazer cache de dados de um usuário, faça simplesmente Cache["DadosDoUsuario" + UsuarioId] e seja feliz.

Você pode usar o System.Web.Caching.Cache por hora, e se precisar realmente investir em dados em Cache, partir para um RavenDB ou Redis.

Mas Session? Diga não às Sessions.

6
  • 1
    já ouviu falar de Session-State? você não é forçado à usar a Session InProc... pode usar o SqlServer, o StateServer ou até mesmo Custom 8/03/2016 às 16:13
  • @TobyMosque, é exatamente de Session-State que me refiro. E estamos falando no contexto de aplicação, dentro do ASPNET. Session de SqlServer é outro tipo de Session, fora da aplicação. 10/03/2016 às 19:20
  • Os que negativaram que, por gentileza, se pronunciem. 10/03/2016 às 19:20
  • indepedente do Session-State, a Session continua a mesma, o que muda é a forma como são armazenados os dados... uma analogia seria Entity Framework e o EF Provider, modificar o Provider não faz com que o EF seja um ORM diferente, mas sim a forma como ele irá armazenar os dados. 10/03/2016 às 19:26
  • Sim, exatamente. E o que eu postei é que recomendo fortemente a não usar o System.Web.Caching.Cache. Demais componentes de persistência de dados não estão em questão na minha postagem. 10/03/2016 às 23:00

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .