Чувство безопасного печенья над HTTPS

Question

Есть ли смысл шифровать файлы cookie (безопасные куки) для HTTPS? Насколько я знаю, весь запрос HTTPS зашифрован, нужно ли нам дополнительно шифровать файлы cookie?

Answer 1

Это зависит полностью от вашей модели безопасности. Некоторые причины, по которым вам все равно необходимо шифровать файлы cookie:

1. Вам не нравится, если пользователь вашего приложения получает содержимое файла cookie? Другими словами, вы храните что-нибудь там, что является внутренним, и не должны быть раскрыты пользователю?

2. Вам небезразлично, что пользователь сжимает содержимое файла cookie? Шифрование может быть способом получения защиты целостности в зависимости от того, как вы это делаете. (Есть, конечно, и другие способы.)

3. Каковы последствия раскрытия файла cookie? Если это токен-носитель, независимо от того, зашифрован он или нет, он не будет иметь большого значения, но если он содержит ценные данные, шифрование обеспечивает некоторую защиту от злоумышленника, получающего доступ к хранимым куки-файлам браузера каким-либо образом (через веб-сайт атака или атака на фактическую систему, в которой размещен браузер). Вы по-прежнему можете проиграть злоумышленнику другими способами, но он может обеспечить некоторую защиту в глубину.

Главное, что шифрование куки дает защита от пользователя, который принимает куки (или злоумышленник, который может получить доступ к данным этого пользователя), если вам нужно.