Haruskah bendera Cookie aman juga disetel di situs web HTTPS saja?

Question

Haruskah securebendera cookie disetel di situs web yang hanya disajikan melalui HTTPS?

The Secure attribute tells the browser to only send the cookie if the request is being sent over a secure channel such as HTTPS

Katakanlah korban terhubung ke https://example.comdan tidak ada http://example.com. Bagaimana seorang penyerang memiliki akses ke cookie? Maksud saya, jika dia mencegat lalu lintas, cookie akan dienkripsi.

Answer 1

Tidak perlu menyetel atribut ini jika lalu lintas antara klien dan server untuk domain cookie akan selalu dienkripsi secara end-to-end. Tetapi, apakah Anda benar-benar yakin akan hal itu?

• Kesalahan konfigurasi server dapat menyebabkan lalu lintas biasa.
• Meskipun example.com mungkin sepenuhnya dienkripsi, sub.example.com mungkin tidak, tetapi cookie mungkin juga valid untuk domain ini.
• Ada serangan seperti sslstrip yang menyebabkan koneksi biasa antara klien dan penyerang MITM bahkan jika koneksi antara penyerang dan server dienkripsi.

Jadi, untuk kepentingan ketahanan, lebih baik mengatur atribut meskipun tampaknya tidak perlu. Lihat juga Mengetahui aplikasi web hanya HTTPS, apakah cookie HTTP memerlukan tanda aman? .