Может ли mod_rewrite безопасное куки?

Question

Скажите, что вы хотите отправлять файлы cookie только через HTTPS, а не через HTTP. Вы можете использовать безопасные флаги HTTP, как указано в статье this. Однако, поскольку вы можете использовать модуль Apache mod_rewrite для отправки перенаправления пользователю из версии HTTP вашего сайта на версию HTTPS, разве это не означает, что он будет защищать файлы cookie? Другими словами, отправляет ли сервер ваши файлы cookie, если он отправляет перенаправление?

Answer 1

Если вы перенаправляете из HTTP в HTTPS и затем устанавливаете куки-файлы, эти файлы cookie будут установлены через HTTPS. Скажем, вы перенаправляете пользователя от http://www.example.com до https://www.example.com, заголовок Set-Cookie, отправленный с www.example.com, будет зашифрован во время транспортировки пользователем.

Однако, если пользователь возвращается и вводит http://www.example.com в своем браузере, еслине был указан в файле cookie, cookie будет отправлен через HTTP, незашифрованный.

Это может произойти, если любые внутренние ссылки на вашем сайте являются HTTP, любые ссылки на других сайтах, принадлежащие вам, являются HTTP или если злоумышленник MITM вводит HTTP-ресурс с вашего сайта на другой сайт (например, <img src="http://www.example.com/x.jpg" /> будет вытеснять файл cookie HTTP).

Именно поэтому рекомендуется установить безопасный флаг. HSTS может использоваться, чтобы гарантировать, что соединения остаются только на HTTPS, однако установка защищенного флага должна быть основным фокусом.