Un ID sessione dovrebbe mai essere inviato su una connessione non criptata?

Question

Un ID sessione dovrebbe mai essere inviato su una connessione non criptata?

#1 da (2 voti)
#2 da (1 voti)

3

Sto insegnando a me stesso un tocco della più basilare sicurezza delle informazioni mentre gioco con il web dev, in modo da ottenere una migliore comprensione dell'intero quadro.

Supponiamo che il mio sito web contenga account utente che contengono informazioni personali diverse da zero.

È mai appropriato memorizzare gli ID di sessione associati a questa connessione su HTTP?

Chiedo perché stavo guardando attraverso i miei cookie e vedo che alcuni di quelli di "google.com" sono contrassegnati come "invia tramite qualsiasi connessione" - sono corretto nel presupporre che questi ID di sessione non siano in alcun modo collegato alle informazioni personali che un utente malintenzionato / sniffer potrebbe ottenere o abusare?

cookies session-management

posta LearnForFun 19.02.2015 - 02:46

fonte

2 risposte

Leggi altre domande sui tag cookies session-management

Rubare document.cookie dal dominio Google, si tratta di una violazione della privacy? Un meccanismo ptr in un record SPF è sicuro?

score 2 · Answer 1

In questa domanda relativa ai cookie di Google e Flag HTTPonly :

[Google] store the important stuff (for example, HSID, NID and SSID) as HTTPonly

Inoltre, il cookie SSID è contrassegnato con la Bandiera protetta . Ciò significa che non verrà inviato dal browser tramite una semplice connessione HTTP.

Quindi per rispondere alla tua domanda, se il tuo ID sessione consente l'accesso alle informazioni personali, devi impostare il flag di sicurezza per assicurarti che non sia mai trapelato su un semplice HTTP. In caso contrario, un utente malintenzionato potrebbe forzare una perdita se la vittima sta visitando il suo sito Web includendo un semplice riferimento HTTP nella pagina (ad esempio <img src="http://example.com/foo" /> ) e quindi MITM la connessione.

Tuttavia, potrebbe essere accettabile per gli ID di sessione che non consentono l'accesso a informazioni sensibili. Ad esempio, puoi impostare un cookie in modo che tu possa consentire ad un utente di aggiungere elementi al proprio paniere e quindi quando procede al checkout il contenuto della sessione non sicura viene trasferito alla sessione protetta che è solo su HTTPS. Un utente malintenzionato può solo intercettare la sessione non protetta e eventualmente aggiungere o modificare gli articoli del carrello, sebbene il sito chieda all'utente di confermare il suo ordine una volta che i contenuti siano stati trasferiti e non può costringere l'utente a ordinare qualcosa. Inoltre, tutti i dettagli personali sono protetti in quanto i canestri sono considerati anonimi fino al raggiungimento del checkout HTTPS.

Credo che Google utilizzi cookie non protetti e non solo http per gli articoli in modo simile. Il SSID sembra essere l'identificatore di sessione importante e questo è protetto da entrambi i flag.

score 1 · Answer 2

Se il cookie è destinato a essere privato come un cookie di sessione, sicuramente no. Google potrebbe pensare di non aver bisogno di specificare che il cookie viene inviato su una connessione protetta perché già predefiniti a https per tutti gli aspetti sicuri del sito. La ragione più probabile è probabilmente perché Google è impostato per essere automaticamente reindirizzato a https dal browser a causa di HSTS. Pertanto, molto probabilmente il cookie non rischia di essere inviato su una connessione non sicura. Tuttavia, non potrebbe ferire.

È preferibile non inviarlo mai su una connessione non crittografata perché c'è una maggiore possibilità che un utente malintenzionato possa leggere il cookie e accedere all'account dell'utente.