Cookies klauen

[Toasterfraktion]

Hallo,
ich bin grade dabei ein Loginsystem zu programmieren und bin mir nicht sicher wie ich das Feature "Eingeloggt bleiben" umsetzen soll.

Ich habe es bis jetzt so gemacht, dass beim einloggen ein Cookie mit der UserID und ein Cookie mit dem Passworthash (salted) auf dem PC speichern. Nun bin ich mir aber nicht sicher ob Cookies auch "geklaut" werden können.

Nehmen wir mal an, dass ein Angreifer den Inhalt dieser beiden Cookies klaut, Sie auf seinem Computer zwei neue mit dem Inhalt der geklauten erstellt. Dadurch hat er dann vollen Zugang.

Ich frage mich nun wie man das sicherer gestalten kann oder ob es so ausreicht?

Mit freundlichen Grüßen
Toaster

[Google]

[MixCool]

Eine effektive Lösung wäre es z.B. wenn du den User-Agent von dem richtigen Cookie-Besitzer auf dem Server speicherst. D.h. wenn er dann sich per Cookie einloggen will, muss sein User-Agent mit dem gespeicherten verglichen werden.

MfG MixCool