Làm cách nào để ngăn chặn việc chiếm đoạt phiên bằng cách sao chép cookie từ máy này sang máy khác?

Question

Hầu hết các ứng dụng web sử dụng cookie để quản lý phiên cho người dùng và cho phép bạn duy trì trạng thái đăng nhập ngay cả khi trình duyệt đã bị đóng.

Cho phép giả vờ chúng tôi đã làm mọi thứ trong sách để đảm bảo rằng chính cookie đó được lưu.

• mã hóa nội dung
• bộ http chỉ
• bộ đảm bảo
• ssl được sử dụng cho kết nối
• chúng tôi kiểm tra giả mạo với nội dung của các tập tin cookie

Có có thể ngăn chặn ai đó có quyền truy cập vật lý vào máy để sao chép cookie và sử dụng lại nó trên máy khác và do đó ăn cắp phiên không?

Answer 1

Không có nghĩa là "bảo vệ" chống lại điều này. Nếu loại sao chép này xảy ra, thì:

• Người dùng cuối thực hiện mục đích vì họ muốn thay đổi máy tính. Đây là, tất nhiên, không phải cái gì bạn nên quan tâm hoặc quan tâm.
• Kẻ tấn công đã xâm phạm trình duyệt của người dùng và truy cập vào các cookie được lưu trữ bên trong. Theo định nghĩa, cookie này là một bí mật chứng minh rằng danh tính của máy khách HTTP. Nếu kẻ tấn công đã có quyền truy cập vào nó, họ có thể đã sử dụng nó trong bất kỳ số cách nào mà họ chọn mà bạn sẽ không thể ngăn chặn hoặc phân biệt người dùng thực sự truy cập máy chủ hợp pháp.

Answer 2

Rủi ro này vốn có trong việc sử dụng cookie để xác thực phiên: cookie là mã thông báo mang, bất kỳ ai có thể hiển thị cookie được xác thực.

Đây là lý do tại sao bạn thấy sự bảo vệ hơn nữa như:

• tự động đăng xuất sau một khoảng thời gian nhất định, hoặc khoảng thời gian không hoạt động;
• device fingerprinting;
• yêu cầu xác thực lại cho các hành động quan trọng (ví dụ: thực hiện chuyển khoản ngân hàng hoặc thay đổi mật khẩu của bạn).