When HTTP protocol is used, the tra

When HTTP protocol is used, the traffic is sent in plaintext. It allows the attacker to see/modify the traffic (man-in-the-middle attack). HTTPS is a secure version of HTTP – it uses SSL/TLS to protect the data of the application layer. When HTTPS is used, the following properties are achieved: authentication, data integrity, confidentiality. How are HTTP and HTTPS related to a secure flag of the cookie?

Let’s consider the case of an authentication cookie. As was previously said, stealing this cookie is equivalent to impersonating the user. When HTTP is used, the cookie is sent in plaintext. This is fine for the attacker eavesdropping on the communication channel between the browser and the server – he can grab the cookie and impersonate the user.

Now let’s assume that HTTPS is used instead of HTTP. HTTPS provides confidentiality. That’s why the attacker can’t see the cookie. The conclusion is to send the authentication cookie over a secure channel so that it can’t be eavesdropped. The question that might appear in this moment is: why do we need a secure flag if we can use HTTPS?

Let’s consider the following scenario to answer this question. The site is available over HTTP and HTTPS. Moreover, let’s assume that there is an attacker in the middle of the communication channel between the browser and the server. The cookie sent over HTTPS can’t be eavesdropped. However, the attacker can take advantage of the fact that the site is also available over HTTP. The attacker can send the link to the HTTP version of the site to the user. The user clicks the link and the HTTP request is generated. Since HTTP traffic is sent in plaintext, the attacker eavesdrops on the communication channel and reads the authentication cookie of the user. Can we allow this cookie to be sent only over HTTPS? If this was possible, we would prevent the attacker from reading the authentication cookie in our story. It turns out that it is possible, and a secure flag is used exactly for this purpose – the cookie with a secure flag will only be sent over an HTTPS connection.

ผลลัพธ์ (ไทย) 1:

เมื่อมีใช้โพรโทคอล HTTP การจราจรจะถูกส่งเป็นข้อความล้วน จะช่วยให้ผู้โจมตีสามารถดู/แก้ไขการจราจร (คนในกลางโจมตี) รุ่นทาง HTTP เป็น HTTPS – ใช้ SSL/มรท เพื่อป้องกันข้อมูลของชั้นแอพลิเคชัน เมื่อมีใช้ HTTPS คุณสมบัติต่อไปนี้จะประสบความสำเร็จ: รับรองความถูกต้อง ความสมบูรณ์ของข้อมูล การรักษาความลับ วิธีเป็น HTTP และ HTTPS ที่เกี่ยวข้องกับธงทางของใครลองพิจารณากรณีของคุกกี้การรับรองความถูกต้อง ขณะที่ก่อนหน้านี้กล่าว ขโมยคุกกี้นี้จะเหมือนกับผู้แอบอ้าง เมื่อมีใช้ HTTP คุกกี้ถูกส่งเป็นข้อความล้วน นี่คือสำหรับผู้โจมตีแอบช่องสื่อสารระหว่างเบราว์เซอร์และเซิร์ฟเวอร์ – เขาสามารถหยิบคุกกี้ และเลียนแบบผู้ใช้ตอนนี้สมมติว่า มีใช้ HTTPS แทน HTTP HTTPS มีความลับ ที่ว่าทำไมผู้โจมตีไม่เห็นใครได้ ข้อสรุปจะส่งคุกกี้การรับรองความถูกต้องผ่านช่องทางที่ไม่ eavesdropped คำถามที่อาจปรากฏในขณะนี้คือ: ทำไมต้องธงทางถ้าเราสามารถใช้ HTTPS หรือไม่ลองพิจารณาสถานการณ์สมมติต่อไปนี้ตอบคำถามนี้ เว็บไซต์ที่มีพร้อมใช้งานผ่าน HTTP และ HTTPS นอกจากนี้ สมมติว่า มีโจมตีกลางช่องสื่อสารระหว่างเบราว์เซอร์และเซิร์ฟเวอร์ ไม่สามารถ eavesdropped คุกกี้ที่ส่งผ่านทาง HTTPS อย่างไรก็ตาม ผู้โจมตีสามารถใช้ประโยชน์จากความจริงที่มีพร้อมใช้งานผ่าน HTTP ผู้โจมตีสามารถส่งลิงค์รุ่น HTTP ของเว็บไซต์สำหรับผู้ใช้ ผู้ใช้คลิกการเชื่อมโยง และสร้างการร้องขอ HTTP เนื่องจากจราจร HTTP จะถูกส่งเป็นข้อความล้วน โจมตีที่ eavesdrops ในช่องทางการสื่อสาร และอ่านคุกกี้การรับรองความถูกต้องของผู้ใช้ เราสามารถนี้คุกกี้จะถูกส่งผ่านทาง HTTPS เท่านั้น ถ้านี้ได้ เราจะป้องกันผู้โจมตีจากอ่านคุกกี้การรับรองความถูกต้องในเรื่องของเรา มันจะออกเป็นไปได้ และใช้ธงทางตรงสำหรับวัตถุประสงค์นี้ – คุกกี้กับธงทางจะเท่าส่งผ่านการเชื่อมต่อ HTTPS

ผลลัพธ์ (ไทย) 3:

เมื่อโปรโตคอล HTTP จะใช้ การจราจรจะถูกส่งในอักขระ . มันช่วยให้โจมตีเพื่อดู / แก้ไขการจราจร ( ผู้ชายในการโจมตีกลาง ) HTTPS เป็นรุ่นของการใช้ SSL / TLS http –เพื่อปกป้องข้อมูลในชั้นการประยุกต์ใช้ เมื่อ HTTPS ใช้คุณสมบัติต่อไปนี้จะได้รับการตรวจสอบความสมบูรณ์ของข้อมูล : ความลับวิธี HTTP และ HTTPS ที่ปลอดภัยที่เกี่ยวข้องกับธงของคุกกี้ ?

ลองพิจารณากรณีของการตรวจสอบคุกกี้ ตามที่ได้เคยกล่าวว่า ขโมยคุกกี้นี้เทียบเท่ากับการปลอมตัวเป็นผู้ใช้ เมื่อมีการใช้ HTTP , คุกกี้จะถูกส่งในอักขระ .นี้จะดีสำหรับการโจมตีการช่องทางการสื่อสารระหว่างเบราว์เซอร์และเซิร์ฟเวอร์ โดยเขาสามารถคว้าคุกกี้และปลอมตัวเป็นผู้ใช้

ตอนนี้สมมติว่าใช้ HTTPS แทน HTTP . HTTPS มีความลับ นั่นคือเหตุผลที่คนร้ายไม่สามารถเห็นคุกกี้สรุปคือ เพื่อส่งตรวจสอบคุกกี้ผ่านช่องทางที่ปลอดภัยเพื่อไม่ให้มันต้องแอบฟัง . คำถามที่อาจจะปรากฏในขณะนี้คือ : ทำไมเราต้องเป็นธงความปลอดภัย ถ้าเราสามารถใช้ HTTPS ?

ลองพิจารณาสถานการณ์สมมติต่อไปนี้เพื่อตอบคำถามนี้ เว็บไซต์ให้บริการผ่าน HTTP และ HTTPS . นอกจากนี้สมมติว่ามีการโจมตีในกลางของช่องทางการสื่อสารระหว่างเบราว์เซอร์และเซิร์ฟเวอร์ คุกกี้ที่ส่งผ่าน HTTPS ไม่ได้แอบฟัง . อย่างไรก็ตาม ผู้โจมตีสามารถใช้ประโยชน์จากความจริงที่ว่าเว็บไซต์ยังสามารถใช้ได้ผ่าน HTTP . ผู้โจมตีสามารถส่งลิงค์ไปยังรุ่นต่างๆของเว็บไซต์ให้กับผู้ใช้ผู้ใช้คลิกที่ลิงค์และการร้องขอ HTTP จะถูกสร้างขึ้น ตั้งแต่ HTTP การจราจรจะถูกส่งในอักขระ คนร้าย eavesdrops ในช่องทางการสื่อสารและอ่านคุกกี้การรับรองความถูกต้องของผู้ใช้ เราสามารถยอมรับคุกกี้นี้จะถูกส่งผ่าน HTTPS เท่านั้น ? ถ้าเป็นไปได้ เราก็จะป้องกันการโจมตีจากการอ่านการตรวจสอบคุกกี้ในเรื่องราวของเรา ปรากฎว่า มันเป็นไปได้และธงการใช้ตรงวัตถุประสงค์และคุกกี้ที่มีธงความปลอดภัยจะถูกส่งผ่านการเชื่อมต่อ HTTPS .