Un problema con il meccanismo di rilevamento dei furti di cookie dello schema di cookie persistente migliorato di Barry Jaspan

Hai ragione, in pratica il problema molto probabilmente si verifica quando si utilizza una delle molteplici funzionalità di Firefox che consente di ripristinare e quindi aggiornare più schede contemporaneamente.

Basandomi solo sul segreto in sé, non vedo modo di dire se sia stato rubato o meno. L'unica soluzione che vedo è aggiungere una data di scadenza al token (dovrebbe essercene uno comunque per eliminare i vecchi token inutilizzati) e quando un utente mostra un token tenerlo nella base ma impostare la sua data di scadenza su un breve ritardo (impostare la scadenza a uno o due minuti prima, ad esempio). Forse dovrebbe esserci un ulteriore flag "usato" aggiunto per garantire che la data di scadenza venga aggiornata una sola volta (altrimenti un utente malintenzionato che può aggiornare la data all'infinito potrebbe conservare la validità del token nel tempo).

Quindi l'avviso "token theft" può essere generato quando il server riceve una serie valida associata a un token inesistente o scaduto.