Ho alcuni dati sensibili nel cookie, ad es. contiene l'id utente che viene utilizzato in seguito per eseguire la query e ci fidiamo del cookie perché è crittografato. Tutte le comunicazioni avvengono solo su https. È abbastanza sicuro con la sola crittografia, o devo assicurarmi che l'autenticità dei cookie sia mantenuta, ad es. aggiungendo MAC, firma o usando la crittografia autenticata?
Sì, hai bisogno di un MAC per assicurarti che l'utente non abbia manipolato il valore su qualcos'altro che è un id utente valido una volta decrittografato.
Inoltre, anziché MAC <userid> dovresti aggiungere un contesto intorno ad esso, e poi mac.
es. userid=<userid>
Ciò impedirà un attacco di sostituzione altrove sul tuo sito con dati che sono stati MAC. Ad esempio, se sul tuo sito è presente una pagina che un utente malintenzionato ha bisogno di un MAC% bid co_de per passarlo. per es.
100
L'autore dell'attacco non conosce il MAC da inserire. Tuttavia, l'utente può creare utenti e il loro utente creato di recente ha l'ID utente 90. L'autore dell'attacco crea semplicemente altri 10 utenti e dà un'occhiata al cookie creato. Poiché conterrà il MAC per il numero 100, potranno quindi sostituire il valore con la loro richiesta URL sopra. Questo è il motivo per cui il contesto è importante quando si creano i MAC.
Inoltre, dovresti idealmente includere una data di scadenza su tali dati per impedire attacchi di riproduzione in un secondo momento.
es. dovresti mac example.com/view_order?order_id=100&mac=****
HTTPS impedisce solo a terze parti di fare attacchi man-in-the-middle e di manipolare la connessione (incluso il cookie). HTTPS non fa nulla per proteggerti da un utente malintenzionato. L'utente può modificare il proprio cookie. Devi utilizzare la crittografia autenticata o firmare tu stesso i contenuti del cookie se non desideri che l'utente provi a modificare l'id nel proprio cookie con un ID utente diverso.
Leggi altre domande sui tag authentication encryption cookies