“记住我的设备”的替代实现不使用cookie?

时间:2015-02-04 21:55:39

标签: security web-applications web

我正在为我为金融服务公司维护的网络应用程序添加“记住我的设备”功能。我读过的有关此功能的所有实现都使用持久性cookie,而我现有的“记住我”功能使用持久性cookie。

在使用Win7 / IE11测试我当前的银行(chase.com)实施时,我发现我无法删除cookie并强迫我的银行忘记我的设备。我尝试使用Win7 / IE9的新机器,然后让网站记住该设备。然后我在任何和所有组合中尝试了以下内容:

  • 清除Cookie和所有浏览历史记录元素(不保留收藏夹)
  • 将IE重置为默认值
  • 将IE重置为默认值并清除个人数据

我还卸载了Flash,Java和.NET运行时,希望数据存储在这些插件平台中。我确实找到了一些引用Flash cookie的.js文件,所以我认为没有Flash,网站会默认恢复正常的cookie。我使用IE测试,因为它没有像Chrome那样内置Flash。

我还在每次清除缓存尝试后注销/开启,以确保在两次尝试之间关闭IE进程。毕竟,我的浏览器仍然是一个记忆的设备。

我的问题是:

  • 是否有其他客户端技术可用于记住我的设备,我没有重置/清除?

  • 是否可以在服务器上记录足够的详细信息以创建足够准确的设备指纹?在升级或安装插件等之后,我从来没有让我的银行重新提示我记住我的设备。(当然我通常使用Chrome并且只使用IE进行此分析)

  • 建议采用纯粹的服务器端方法,特别是像Chase这样的金融机构?是否有任何文章或文章可以解决这种方法的利弊?我认为它不如标准cookie方法安全。

谢谢大家,我的第一个问题,如果我的google-fu未能找到明显的答案,我会道歉。

2 个答案:

答案 0 :(得分:0)

是的,有几种客户端方法可以保存HTML5中可用的数据。一个很好的概述是http://www.html5rocks.com/en/tutorials/offline/storage/

答案 1 :(得分:0)

查看Evercookie

上面的页面有信息和按钮来实际测试它。 它将向您展示它在特定设备/浏览器中使用的哪种方法(如果有)。

code itself is available at github