보안 문제 : 쿠키로만 HTTP 세션 유지하기

Question

HTTP 세션을 쿠키로만 유지하는 경우 발생할 수있는 보안 문제를 누군가에게 설명 할 수 있습니까?

Answer 1

쿠키 만 사용하여 세션 관리를 코딩 할 수 있습니다. 세션 정보를 관리하려면 많은 부분이 필요합니다. 쿠키 만료 시간 스탬프, 보안 쿠키, 세션 ID 생성 등을 관리하는 등의 문제가 발생할 수있는 경우의 흐름 -

• 쿠키가 도난 될 수 & 재사용을 권한을 일으킬 수있는 쿠키의
• 조작 & 무단 액세스를 이관

Answer 2

음, 본질적으로 세션은 안전하지 않습니다. 공유 비밀이있는 사람을 위해 응용 프로그램에 구멍을 엽니 다. 그러나 용납 할 수있는 thats. 누군가 세션 ID를 얻으면 문제가 발생합니다. 이것을 피하려면, 당신의 ID는 uuid-quality (정말로 랜덤)이어야하고 가능한 한 단기적이어야합니다.

다른 사람이 JS를 도메인에 (쿠키가 유효한) 삽입 할 수 있으면 쿠키를 읽고 누군가의 세션에 액세스 할 수 있습니다.

보안과 관련된 작업 (예 : 금액 이전, 전자 메일/암호 변경)의 경우 사용자 세션을 확인하기 위해 암호를 다시 요구해야합니다.

잠금 버튼을 클릭하면 로컬 쿠키뿐만 아니라 세션 하나가 서버를 파괴해야하므로 쿠키를 읽었더라도 세션이 삭제 될 수 있습니다.