facebook - 流行的 Web 应用程序(例如 Facebook、Google)如何在不冒安全风险的情况下保持 session 存活这么久？

Question

我正在编写自己的身份验证代码，而且我已经阅读了很多有关可能的攻击的资料。一种攻击媒介是攻击者劫持 session 并使用此信息作为经过身份验证的用户执行恶意操作。我读过解决方法是经常使 session 过期或至少定期更新 session 。

这让我开始思考，我不记得上次登录 Facebook 是什么时候了。我在许多设备上保持登录状态，其中一些我不是每天都使用(例如工作笔记本电脑)。我想知道，他们如何在不冒 session 劫持风险的情况下进行如此长的 session ？

Answer 1

HTTPS。许多 session 劫持攻击通过嗅探“飞行中”的 cookie 来工作。使用 HTTPS 大大增加了成功完成此操作所需的工作量。