在网站上随机化 cookie 名称会带来哪些安全优势?它会带来哪些挑战?
随机化 cookie 名称是个好主意吗?
信息安全
应用安全
Web应用程序
饼干
会话管理
2021-08-31 10:51:01
3个回答
我认为您不会获得很多收益,因为它们仍然与该站点或其某些子域相关联。
至于缺点,您必须进行一些查找以确定特定 cookie 的名称是什么,这样您就可以知道可以在哪里找到您之前存储的数据。
我认为你最好不要担心它,而是确保你只存储一些唯一标识符,这样你就可以知道它是谁,提供足够的安全性以防止其他人进入他们的帐户,并在内部存储所有其他与用户相关的数据在您自己的后端数据库中。
随机化 cookie 名称的唯一好处是,如果您有理由相信给定的 cookie 可能会被具有相同名称的不同 cookie 覆盖。
例如,同一应用程序在单个 Web 服务器上的多个实例。或者,共享主机——你永远不知道别人会放什么……
但是,还有更好的解决方案——例如将 cookie 限定为特定路径……其他一切都只是默默无闻的安全。
正如@Greg 指出的那样,不利的一面是。
我可以想象随机化 cookie 名称如何防止相关域 cookie 攻击
相关 DNS 域 (*.example.com) 中的计算机之间可能会发生哪些 cookie 攻击?
一种可能的解决方案是 cookie 名称是与用户名等相对应的哈希值,并充当针对此类攻击的 MAC。换句话说,具有无效名称/哈希的 cookie 名称将被丢弃
例子
normalcookieName_SomeHashedValueBasedOnSessionID
其它你可能感兴趣的问题