Quel est le problème avec le stockage du nom d'utilisateur et mot de passe dans un cookie?

Question

Je suis en train de lire une vieille application qui a sauvé les utilisateurs usernamea nd mot de passe comme un cookie - comme une fonctionnalité "me rappeler". Quel est le problème avec cette approche, si quelque chose?

Je suppose que le mot de passe peut être déconnecté si quelqu'un fait une injection javascript malveillante sur l'une des pages du site, mais tout autre risque de sécurité en dehors de cela?

Answer 1

Vous transmettez le mot de passe, en clair, sur Internet à chaque requête HTTP. Si vous n'utilisez pas SSL, il y a un risque d'écoute indiscrète.

Answer 2

Il est évident que si quelqu'un intercepte le cookie lorsqu'il est envoyé du navigateur de l'utilisateur à votre serveur, il peut alors emprunter l'identité de cet utilisateur. Voir Firesheep.

Answer 3

Le cookie est dans le client, donc toute personne ayant accès à l'ordinateur de l'utilisateur peut le lire.