Quali sono i vantaggi in termini di sicurezza che offrirebbero i nomi dei cookie in modo casuale su un sito web? Quali sono alcune delle sfide che creerebbe?
Non penso che tu guadagni molto dal momento che sarebbero ancora associati al sito o ad alcuni sottodomini di esso.
Per quanto riguarda gli svantaggi, dovresti avere una certa occhiata per capire qual è il nome di un particolare cookie, così puoi sapere dove si trovano i dati che hai precedentemente salvato.
Penso che tu stia meglio senza preoccuparti di questo, e invece assicurati di archiviare solo un identificatore univoco in modo da poter dire chi è, fornire una sicurezza adeguata per tenere gli altri fuori dal loro account e archiviare tutti gli altri utenti dati relativi internamente nel proprio database back-end.
L'unico vantaggio dei nomi di cookie casuali, è se hai motivo di ritenere che un dato cookie possa essere ignorato da diversi cookie con lo stesso nome.
Ad esempio, più istanze della stessa app su un singolo server web. Oppure, hosting condiviso - non sai mai cosa inserirà qualcun altro ...
Ma poi, ci sono soluzioni migliori, come ad esempio l'ambito del cookie per il percorso specifico ... Tutto il resto è solo sicurezza per oscurità.
E lo svantaggio è come sottolineato da @Greg.
Potrei immaginare come i nomi di cookie casuali possano impedire gli attacchi relativi ai cookie di dominio correlati
Quali attacchi di cookie sono possibili tra i computer nei relativi domini DNS (* .example.com)?
Una possibile soluzione è dove il nome del cookie è un valore hash corrispondente al nome utente, ecc. e agisce come un MAC contro questo tipo di attacco. In altre parole, i nomi dei cookie con un nome / hash non valido verrebbero scartati
Esempio
normalcookieName_SomeHashedValueBasedOnSessionID
Leggi altre domande sui tag cookies web-application appsec session-management