Pensando em segurança, qual é a melhor opção para manter o usuário logado em uma aplicação ASP.NET MVC, o cookie ou a session?
2 Respostas
Seguro é fazer certo. É dominar o assunto, conhecer todas as possíveis vulnerabilidades de cada mecanismo, saber quando e para que pode ser usado. Depende de cada caso.
Está usando SSL? Isto faz diferença na segurança.
Qual é mais seguro
De qualquer forma eu prefiro sessões porque ela não fica armazenada no navegador. O cookie pode ser adulterado ou capturado. Mas dependendo de como ele for usado não tem problemas. Só nunca coloque informação sensível em um cookie.
Há controvérsias se deve usar um cookie para manter um usuário logado ou não, muitos sites importantes o fazem. Em tese é perigoso, mas é um perigo calculado e a segurança do usuário é que pode ser comprometida, não a segurança da aplicação web. Obviamente que não dá para tornar seguro algo que você não tem controle, então se realmente é necessário, não deixe o usuário "logado" por um mecanismo de controle no navegador.
Uma sessão pode usar um cookie para mantê-la ativa (depende da implementação, a atual usa). Ela se encarrega de fazer o que é necessário para manter a segurança dele, já tem um padrão comprovado de segurança. É uma forma mais abstrata de cuidar da segurança. Claro que ainda é necessário tomar alguns cuidados.
A sessão mantêm dados do lado do servidor, o que é uma enorme vantagem em relação aos cookies puros.
Eu vejo algumas pessoas dizerem para usar cookies e não session. Mas depende pra que será usado. As pessoas que tem experiência com isso vivem usando sessões. Claro que elas o fazem sabendo como usar, conforme eu disse logo no início.
É possível usar o ASP.NET Identity que é outra camada de abstração para obter um mecanismo de controle de sessão (sim, tem um controle de sessão embutido nela), entre outras coisas.
No fundo tudo usa cookie, é só escolher a camada de abstração que deseja.
Eu jamais diria para usar um ou outro sem saber o caso específico. Não vou aplicar uma "boa prática" geral. Cada mecanismo tem sua utilidade, vantagem e desvantagem. E principalmente não diria para não usar alguma coisa a não ser que exista um fato claro para não usar, se, por exemplo, o fornecedor tornou obsoleto e deu uma boa razão para não usar mais aquilo. O que não é o caso dos mecanismos citados na pergunta.
O assunto específico sobre o funcionamento e diferença entre os dois mecanismos já foi amplamente respondido aqui no SOpt. A pergunta não pede e não vou entrar em detalhes, afinal ela é mais específica. Por exemplo: Qual a diferença entre Sessions e Cookies.
-
1no caso do login sem ssl , se um man in the middle rouba o cookie geralmente ele leva junto a sessão 7/03/2016 às 16:14
-
-
Não precisa nem de man in the middle, se for uma rede difusa como WIFI. Lembrando que nada é 100% seguro, existem técnicas capazes de roubar até mesmo com SSL. 8/03/2016 às 12:47
-
1@Daniloloko Sim, tem várias formas. Se bem que eu acho que o que você citou não deixa de ser um MITM.– Maniero ♦8/03/2016 às 12:55
-
2@tayllan é que você disse que ela está correta, então o negativo ficou incoerente.– Maniero ♦8/03/2016 às 15:02
Use o ASPNET Identity para gerenciar a autenticação do seus usuários. Ele já prevê vários quesitos de segurança e é super fácil de trabalhar com ele.
O ideal é usar cookie para gravar informações que não sejam de segurança. Por exemplo, preferencias do usuário, últimas páginas ou produtos vistos, quando esteve no seu site pela última vez - para um controle de contador de acesso, talvez.
E, se tratando de web, NÃO USE SESSION.
- Sessions são alocadas no Pool do IIS: quando a memória do AppPool é reciclada, seus dados armazenados em Session são liberados;
- Sessions são de acesso exclusivo: Sempre que se realiza um acesso à Session, todo pipe de execução é travado até que o acesso seja finalizado. Então, vc consegue ter apenas um acesso ao Session por vez. Imagine isso com vários usuários conectados simultaneamente.
- Session não são escaláveis: Como ela é alocada no AppPool, se hospedado em servidores escaláveis, essa informação não irá ser compartilhada entre outros hosts. Então se sua app usa Session, não é possível escalar horizontalmente.
Por isso usamos Cache ao invés de Session. E também é por tudo isso que existe várias soluções de Cache no mercado hoje.
Só não esqueça que Cache é compartilhado por toda aplicação. Então, se for fazer cache de dados de um usuário, faça simplesmente Cache["DadosDoUsuario" + UsuarioId]
e seja feliz.
Você pode usar o System.Web.Caching.Cache
por hora, e se precisar realmente investir em dados em Cache, partir para um RavenDB ou Redis.
Mas Session? Diga não às Sessions.
-
1já ouviu falar de
Session-State
? você não é forçado à usar aSession
InProc
... pode usar oSqlServer
, oStateServer
ou até mesmoCustom
8/03/2016 às 16:13 -
@TobyMosque, é exatamente de
Session-State
que me refiro. E estamos falando no contexto de aplicação, dentro do ASPNET. Session de SqlServer é outro tipo de Session, fora da aplicação. 10/03/2016 às 19:20 -
-
indepedente do
Session-State
, aSession
continua a mesma, o que muda é a forma como são armazenados os dados... uma analogia seria Entity Framework e o EF Provider, modificar o Provider não faz com que o EF seja um ORM diferente, mas sim a forma como ele irá armazenar os dados. 10/03/2016 às 19:26 -
Sim, exatamente. E o que eu postei é que recomendo fortemente a não usar o
System.Web.Caching.Cache
. Demais componentes de persistência de dados não estão em questão na minha postagem. 10/03/2016 às 23:00
Sessions
do ASPNET não são uma boa, e ter marcado como resposta certa pode induzir outros à seguirem por um caminho ruim.