Jak zapobiec przechwytywaniu sesji, po prostu kopiując plik cookie z komputera na inny?

Question

Większość aplikacji internetowych wykorzystuje pliki cookie do zarządzania sesją dla użytkownika i pozwala na pozostanie zalogowanym, nawet jeśli przeglądarka została zamknięta.

Pozwala udawać, że zrobiliśmy wszystko w książce, aby upewnić się, że sam plik cookie jest zapisany.

• zaszyfrować zawartość
• zestaw http tylko
• zestaw zabezpieczyć
• SSL jest używany do
• sprawdzamy manipulowanie zawartością cookie

Jest on połączeniem możliwe, aby uniemożliwić komuś fizyczny dostęp do urządzenia, aby skopiować plik cookie i ponownie użyć go na innym komputerze, a tym samym kradzieży sesji?

Answer 1

Nie ma sensu "chronić" przed tym. Jeśli takie kopiowanie się dzieje, to albo:

• Użytkownik końcowy zrobił to celowo, ponieważ chciał zmienić komputer. Nie jest to oczywiście coś, na czym powinieneś się martwić.
• Osoba atakująca przejęła już przeglądarkę użytkownika i uzyskała dostęp do plików cookie zapisanych w jego pamięci. Z definicji ten plik cookie jest tajemnicą, która udowadnia tożsamość klienta HTTP. Jeśli atakujący ma już do niego dostęp, mogą go już używać na dowolnie wybrany przez siebie sposób, aby uniemożliwić lub odróżnić prawdziwego użytkownika uzyskującego dostęp do serwera w sposób zgodny z prawem.

Answer 2

Ryzyko to wiąże się z używaniem plików cookie do uwierzytelniania sesji: plik cookie jest tokenem na okaziciela, każdy, kto może go wyświetlić, jest uwierzytelniany.

Dlatego widać dalsze zabezpieczenia takie jak:

• automatyczne wylogowanie po upływie określonego czasu lub okresu bezczynności;
• device fingerprinting;
• wymaga ponownej autoryzacji w przypadku krytycznych działań (np. Dokonania przelewu bankowego lub zmiany hasła).