The "secure" cookie flag dictates t

The "secure" cookie flag dictates that the value of the cookie should only be sent over (unspecified) secure means. In practice this has come to mean over SSL. This is critical in keeping session cookies safe from prying eyes. If the user-agent does not send a sensitive session cookie over HTTP, an attacker would have to look at other means of stealing this cookie.

Turns out this requirement does not apply to the initial "set-cookie" response sent from the server to the client, so an attacker can just look for the set-cookie header and hijack the session of the victim. I understand this is not part of RFC 2109 but this helps defeat a lot of the benefits of the "secure" flag.

I tested this out in ASP.NET v1.1 and confirmed that ASP.NET does not ensure that the response from the server is encrypted.


I can confirm that in v1.1 issuing secure cookies DOES NOT enforce the initial issuance occurs on a secure connection. To address your concern of being incompatible a new flag could be added to the HttpCookie class.

This problem is not present in v2.0 but could you guys please fix this in v1.1?

All the .NET code I perform security reviews on is written in 1.1.

ผลลัพธ์ (ไทย) 1:

คุกกี้ "ปลอดภัย" ธงบอกว่า ค่าของคุกกี้ควรเท่านั้นถูกส่งผ่านทางวิธี (ไม่ระบุ) ในแบบฝึกหัด นี้ได้มาหมายถึงผ่าน SSL นี่เป็นสิ่งสำคัญในการรักษาปลอดภัยจาก prying ตาคุกกี้ของเซสชัน ถ้าตัวแทนผู้ส่งคุกกี้เซสชันสำคัญผ่าน HTTP ผู้โจมตีจะต้องมองที่วิธีการอื่น ๆ ของขโมยคุกกี้นี้ เปิดออกข้อกำหนดนี้ไม่สามารถใช้การตอบสนอง "คุกกี้ชุด" เริ่มต้นที่ส่งจากเซิร์ฟเวอร์ไปยังไคลเอนต์ เพื่อให้ผู้โจมตีสามารถค้นหาหัวข้อการตั้งค่าคุกกี้ และจี้ภาคเหยื่อเพียง ผมเข้าใจซึ่งไม่ใช่ส่วนของ RFC 2109 แต่นี้ช่วยกำจัดมากประโยชน์ของธง "ปลอดภัย" ทดสอบนี้ออกใน ASP.NET v1.1 และยืนยันว่า ASP.NET ไม่แน่ใจว่า การตอบสนองจากเซิร์ฟเวอร์ที่ถูกเข้ารหัสลับ ฉันสามารถยืนยันว่า v1.1 ออกทางคุกกี้จะไม่มีบังคับการออกเริ่มต้นเกิดการเชื่อมต่อทาง เพื่อคำนึงถึงความเข้ากัน ได้เพิ่มธงใหม่คลาส HttpCookie ปัญหานี้ไม่มีใน v2.0 แต่ได้พวกคุณกรุณาแก้ไขปัญหานี้ใน v1.1 รีวิวรหัส.NET ที่ทำการรักษาความปลอดภัยในทั้งหมดถูกเขียนใน 1.1

ผลลัพธ์ (ไทย) 3:

" กลายเป็น " ธงคุกกี้ซึ่งค่าของคุกกี้ควรส่งมา ( ยังไม่ระบุ ) หมายถึงการรักษาความปลอดภัย . ในการปฏิบัตินี้มีความหมายมากกว่า SSL นี้เป็นสิ่งสำคัญในการรักษาเซสชันคุกกี้ปลอดภัยจาก prying ตา หากผู้ใช้ตัวแทนไม่ส่งคุกกี้เซสชันไวผ่าน HTTP , โจมตีจะต้องดูที่วิธีการอื่น ๆของขโมยคุกกี้นี้

เปลี่ยนจากความต้องการนี้ไม่ใช้ " คุกกี้ " ตั้งค่าเริ่มต้นการส่งจากเซิร์ฟเวอร์ไปยังไคลเอ็นต์ ดังนั้นผู้โจมตีสามารถมองหาชุดคุกกี้และเซสชั่นของหัวจี้เหยื่อ ผมเข้าใจนี้ไม่ได้เป็นส่วนหนึ่งของ RFC 2109 แต่นี้จะช่วยให้เอาชนะมากประโยชน์ของ " การรักษาความปลอดภัย " ธง

ผมทดสอบนี้ออกใน ASP.NET v1.1 และยืนยันว่า ASPสุทธิ ไม่มั่นใจว่า การตอบสนองจากเซิร์ฟเวอร์จะถูกเข้ารหัส


ผมสามารถยืนยันได้ว่าในการ v1.1 ออกคุกกี้ไม่ได้บังคับใช้เริ่มต้นการออกเกิดขึ้นบนการเชื่อมต่อที่ปลอดภัย . ไปยังที่อยู่กังวลของการเข้ากันไม่ได้ใหม่ธงจะถูกเพิ่มไปยัง httpcookie ชั้นเรียน

ปัญหานี้ไม่ได้อยู่ใน v2.0 แต่พวกคุณสามารถช่วยแก้ไขปัญหานี้ใน v1.1 ?

ทุกคนสุทธิรหัส ผมแสดงความคิดเห็นที่ถูกเขียนในการรักษาความปลอดภัย 1.1 .