Me parece que você está buscando algo impossível. Antes de responder à sua pergunta, deixe-me fazer uma outra pergunta semelhante:
Quando se registra em um site se cria um nome de usuário e senha. Sabendo-se que para prevenir o roubo da conta é melhor não compartilhar sua senha com outros usuários, então o campo password
se torna um ponto de partida para um ataque. Se Alice cria uma senha, teoricamente somente ela terá acesso à sua conta, o problema é se Bob fizer login com o username e password de Alice. Senhas são suscetíveis ao mau uso de terceiros, ou até uma máquina infectada (keylogger, por exemplo).
Há alguma forma de se gerenciar contas de usuários sem a necessidade do uso de senhas?
Colocado dessa forma, fica evidente (espero!) que não há muito o que fazer... Espera-se da aplicação que use senhas corretamente (use SSL, não as envie por GET, limpe-as após o uso), espera-se do browser que as manipule corretamente (não as salve em arquivo, esconda os caracteres digitados num campo password
) e espera-se que o computador/dispositivo esteja livre de infecções (não possua um keylogger, não intercepte a senha no browser antes mesmo dela ser criptografada, etc). E é claro, espera-se que o usuário não compartilhe sua senha com terceiros.
Esses riscos sempre estarão presentes ao se utilizar senhas. Você até pode optar por não usá-las, mas aí você teria que arcar com os custos de não fazê-lo (ex.: usar um módulo de hardware para autenticar usuários - que pode ser roubado - usar um gerador de códigos HOTP/TOTP - idem - usar um certificado digital no lado cliente - ibidem) - sendo o principal deles a inconveniência aos usuários. Essa opção deve se pautar numa análise de custo-benefício, não numa busca por eliminar riscos a qualquer custo (por que então não exigir que os usuários se desloquem fisicamente até sua empresa para usar seu sistema, sob suas vistas?).
Um cookie - em especial um que seja HttpOnly
(i.e. inacessível via JavaScript) além é claro de Secure
(só é transmitido via HTTPS) - é a maneira mais segura e conveniente que uma aplicação web comum possui para reautenticar o usuário (i.e. saber que a requisição Y foi enviada pelo mesmo usuário que antes lhe enviou a requisição X - esta contendo seu nome de usuário e senha). Pode-se é claro variar um pouco o tradeoff citado, por exemplo:
- Colocando um token secreto (i.e. o ID da sessão) na própria URL, como apontado na resposta do gmsantos. As desvantagens são:
- A URL pode ser posta em cache, aumentando a exposição desse ID;
- Se o usuário abrir o site em uma outra aba, ele não estará necessariamente autenticado (se ele entrou diretamente, sem seguir um link contendo esse ID).
- Mantendo-se o ID da sessão em memória somente; isso exigiria uma aplicação "de única página" onde toda a comunicação com o servidor é feita via Ajax, e o ID da sessão fica numa variável JavaScript - enviada junto aos parâmetros POST a cada requisição. Desvantagens:
- Toda comunicação teria que se dar via POST, para evitar que o ID acabe na URL como no caso acima;
- O uso ficaria restrito a uma única aba do navegador, a menos que se implementasse a comunicação entre diferentes abas (complicado, e ainda traz riscos adicionais);
- Diminui-se o risco do ID ir parar em arquivo, mas torna-o mais suscetível a XSS.
- Guardando o ID da sessão no
SessionStorage
; semelhante aos dois casos acima (pois esse ID ainda teria de ser enviado de volta ao servidor de alguma maneira), e ainda possui o risco dos dados irem parar em arquivo de qualquer forma (se o browser travar, posteriormente um outro usuário poderia "restaurar a sessão" - já iniciando autenticado como o usuário original).
- Reautenticando o usuário a cada requisição! Assim você não precisa de ID da sessão (nem mesmo de uma sessão!), só exija que o usuário entre com sua senha de novo, e de novo, e de novo...
Etc. Pode-se pensar em outras maneiras, mas na minha visão nenhuma delas seria significativamente diferente do uso de cookies, pois:
- Se a máquina estiver infectada, já era! Nada a menos que um módulo de hardware irá te proteger nesse caso, e ainda assim limitado a alguns poucos cenários;
- Se a solução envolver dados salvos em arquivo, qualquer usuário com root poderá acessá-los (assim como um usuário com root pode roubar o cookie jar do browser);
- Um browser "honesto" honra a política de mesma origem (i.e. nenhuma outra origem - esquema, domínio e porta - pode acessar esses cookies), não expõe indevidamente um cookie
HttpOnly
ao JavaScript, nem envia indevidamente um cookie Secure
sem a devida proteção. Um "browser desonesto" (digamos, um usuário fazendo acesso direto via curl por exemplo) por outro lado poderia fazer mau uso de todos os dados, independentemente de como eles estão armazenados.
Concluindo então, minha posição é de que trabalhar sem cookies não é o melhor caminho para se garantir a segurança de sua aplicação. Em vez disso, procure diminuir a "janela de oportunidade" para o sequestro de sessão (via session_regenerate_id
, como já sugerido, e/ou invalidando a sessão após X minutos de inatividade) e talvez aumente o requisito para realizar ações críticas no sistema (ex.: para trocar de senha, peça a senha original de novo, mesmo que a sessão seja válida). Tome os cuidados cabíveis, mas não se preocupe demais com os riscos inerentes ao uso de cookies - pois estes seriam os mesmos em toda exceto pela mais segura (e cara) das soluções.
user agent
até poderia servir como um SALT.