Cookieを使った自動ログインの安全性、または自動ログインに対する自分の理解が正しいかについて聞きたい

Question

私はPHPの学習のため、Cookieを使った自動ログインを学んでいます。そこで気になることができたので、質問させてください。

こちらやこちらのサイトを読みまして、自動ログインは

1. 完全にランダムな文字列を作成する。
2. それぞれの文字列をcookieとデータベースに保存する。cookieには暗号化したユーザーIDを紐づける。
3. ユーザーのサイト閲覧時、sessionに値がない場合はcookieからデータを取り出してデータベースと突き合わせる。

という流れで行われるものと理解しました。

そこで疑問に思い調べたのですが、ツールを使えばcookieを書き換えられるんですよね？　これは万に一つの可能性として、悪意を持ったユーザーが自分のPCに保存したcookieを適当に弄れば、別のユーザーとしてログインできるかもしれないという事ですか？
確率論的にあり得ないでしょうか。それとも自分が間違った理解をしているだけで、本当はもっと安全なんですか？　教えてください。

Answer 1

悪意を持ったユーザーが自分のPCに保存したcookieを適当に弄れば、別のユーザーとしてログインできるかもしれないという事ですか？

理論的にはそういうことができる可能性もありえます。ただし、十分な桁数を取れば、試行に必要な時間は簡単に数万年、数億年のオーダーに増やすことが可能です（ここまで来れば、別の攻撃手法のほうが確実に分がいいです）。

Comments

[pig_hedas]

やっぱり理論上だけで事実上不可能に近い懸念なんですね。
安心しました。