Sollte das Secure-Cookie-Flag auch nur auf HTTPS-Websites gesetzt werden?

Question

Sollte das Cookie- secureFlag auf Websites gesetzt werden, die nur über HTTPS bereitgestellt werden?

The Secure attribute tells the browser to only send the cookie if the request is being sent over a secure channel such as HTTPS

Nehmen wir an, das Opfer stellt eine Verbindung her https://example.comund es gibt keine http://example.com. Wie kann ein Angreifer auf das Cookie zugreifen? Ich meine, wenn er den Verkehr abfängt, wird der Cookie verschlüsselt.

Answer 1

Dieses Attribut muss nicht festgelegt werden, wenn der Datenverkehr zwischen Client und Server für die Cookie-Domäne immer durchgehend verschlüsselt wird. Aber können Sie wirklich sicher sein, dass es so ist?

• Eine Fehlkonfiguration des Servers kann zu normalem Datenverkehr führen.
• Während example.com möglicherweise vollständig verschlüsselt ist, ist sub.example.com möglicherweise nicht vollständig, aber das Cookie ist möglicherweise auch für diese Domain gültig.
• Es gibt Angriffe wie sslstrip, die eine einfache Verbindung zwischen Client und MITM-Angreifer verursachen, selbst wenn die Verbindung zwischen Angreifer und Server verschlüsselt ist.

Im Interesse der Robustheit ist es daher besser, das Attribut festzulegen, auch wenn es unnötig erscheint. Siehe auch Wenn Sie wissen, dass eine Webanwendung nur HTTPS ist, benötigen HTTP-Cookies das Sicherheitsflag? .