Czy jakiś haker może ukraść plik cookie od użytkownika i zalogować się z tą nazwą na stronie internetowej?

Scenariusz, w którym plik cookie może zostać skradziony, ma miejsce w publicznym środowisku bezprzewodowym. Chociaż ty lub ja nigdy nie działalibyśmy w takiej konfiguracji, może być niemożliwe, aby uniemożliwić to swoim klientom.

Jeśli atakujący wie, z jaką bezpieczną witryną jesteś połączony, chodzi o to, że twoja przeglądarka może zostać oszukana w celu wysłania wiadomości do niezabezpieczonej wersji tego samego adresu url. W tym momencie Twój plik cookie jest zagrożony.

Dlatego oprócz httpOnlyCookies będziesz chciał określić requireSSL="true"

<httpCookies httpOnlyCookies="true" requireSSL="true" />

Nie zgadzam się z komentarzem wieżyczki, ponieważ uważam to za niesprawiedliwe;

@Aristos zaktualizowałem swoją odpowiedź. Ale szczerze mówiąc, jeśli korzystasz z platformy programistycznej Microsoft, Twoja aplikacja będzie z natury niepewna. - Wieża 22 min. temu

Bezpieczeństwo nie dzieje się przez przypadek i nie dzieje się "od razu po wyjęciu z pudełka", przynajmniej nie z mojego doświadczenia. Nic nie jest bezpieczne, dopóki nie zostanie tak zaprojektowane, niezależnie od platformy lub narzędzi.

W wielu przypadkach pliki cookie używane do uwierzytelniania są dopasowane do sesji na serwerze, więc nie jest możliwe tylko pobranie pliku cookie i "zalogowanie się", jednak możesz chcieć przeczytać o fałszerstwach żądań między witrynami, które pozwalają na złośliwe wykorzystanie tego pliku cookie:

Http://en.wikipedia.org/wiki/Cross-site_request_forgery

Istnieje wiele sposobów, że identyfikator sesji może zostać wycieknięty do atakującego. XSS jest najczęściej używanym atakiem do przechwycenia identyfikatora sesji i powinieneś przetestować luki XSS w swojej aplikacji. . Powszechną metodą poprawy siły sesji jest sprawdzenie adresu IP. Gdy użytkownik się loguje, Zapisz adres ip. Sprawdź adres IP dla każdego żądania, jeśli ip się zmieni, to prawdopodobnie porwana sesja. Ten bezpieczny środek może zapobiec uzasadnionym wnioskom, ale to jestbardzo mało prawdopodobne.

Do not Sprawdź X-Forwarded-For lub User-Agent, to trywialne dla atakującego, aby zmodyfikować te wartości.

Polecam również włączenie httpOnlyCookies w Twojej sieci.plik konfiguracyjny:

<httpCookies httpOnlyCookies="true"/>

Utrudnia to atakującemu przechwycenie sesji za pomocą javascript, ale nadal jest to możliwe.

Nie znam specyfiki danego pliku cookie, ale ogólnie złe jest przechowywanie zarówno nazwy użytkownika, jak i hasła w pliku cookie użytkownika. Zazwyczaj chcesz przechowywać tylko nazwę użytkownika w pliku cookie wraz z innymi informacjami poufnymi. W ten sposób użytkownik jest proszony o podanie hasła tylko podczas logowania.

Pracuję nad tym i wpadam na pomysł, że nie jestem pewien, czy jest to w 100% bezpieczne, ale jest to pomysł.

Mój pomysł jest taki, że każdy użytkownik musi przejść ze strony logowania.
Jeśli ktoś ukradł plik cookie, nie przechodzi stronę logowania, ale jest przejść bezpośrednio do strony reszta. nie może przejść strony logowania, ponieważ nie znał naprawdę hasła, więc jeśli przejdzie, to i tak zawiedzie.

Więc umieszczam dodatkową wartość sesji, którą użytkownik został przekazany z sukces strony logowania. Teraz wewnątrz każdej krytycznej strony, sprawdzam tę dodatkową wartość sesji i jeśli znalazłem ją null, loguję się i pytam ponownie o hasło.

Teraz Nie wiem, może wszystko, co zrobione wszystko gotowe przez microsoft, trzeba to sprawdzić więcej.

Aby sprawdzić ten pomysł używam tej funkcji, która bezpośrednio sprawia, że użytkownik jest zalogowany.

FormsAuthentication.SetAuthCookie("UserName", false);

Moim drugim zabezpieczeniem, które mam gotowe naprawić i użyć, jest to, że sprawdzam różne adresy IP i lub Różne Pliki cookie z tego samego zalogowany użytkownik. Wielu się nad tym zastanowiłem, wiele sprawdzianów (jeśli jest za proxy, jeśli jest z różnych krajów, czego szukać, ile razy go widziałem itp...) ale to jest ogólna idea.

Ten film pokazuje dokładnie to, co staram się zapobiec. Używając tej sztuczki, którą tutaj opisałem, nie możesz po prostu ustawić tylko pliku cookie logowania.