Barrapunto

Cierto la mayoría lo hace simplemente así. Sin embargo existen aplicaciones (como Livelink) en las cuales la cookie de sesión es un hash del ID de sesión junto con la IP origen de la conexión. De esa forma aunque consigas predecir una cookie válida, ésta no tendrá verificará la dirección IP del atacante. La verdad es que no entiendo pq esto no se hace siempre así. No le veo nada malo aparte del uso de procesador para el hashing, y problemas con balanceadores de carga... Un saludo,