security - 如何创建防盗且无法被用户/客户端篡改的 cookie？

Question

防盗意味着我可以检测到这是来自不同的客户端 IP 或通过不同的路由(例如当客户端位于代理或其他东西之后)。

防篡改意味着我可以检测到 cookie 无效并且不是由服务器发送的。

Answer 1

一个 cookies 必须始终 成为 Cryptographically secure pseudo random number (CSPRNG)那也是Cryptographic Nonce或仅使用一次的值。该值用于访问服务器端的状态信息。

为什么？攻击者是否修改该值并不重要，他仍然无法更改 session 状态。

加密cookie怎么样？在安全方面，最好避免所有问题。这是对密码学的滥用，因为它为最近的 ASP.NET Oracle CBC Padding attack 等攻击打开了大门。 .

要添加的其他一些功能:

“安全 Cookie” - 可怕的名称，但它是一个标志，强制 cookie 始终通过 HTTPS 传输。这确保您永远不会违反 OWASP A9 .

“HTTPOnly Cookies” - 这使得 JavaScript 无法访问 document.cookie并使 cookie 更难劫持。

确保修补您的 Session Riding aka CSRF .

确保使用 Sitewatch Free Edition 测试您的应用程序是否存在 XSS。或 Wapiti .即使使用 HTTP Only cookie，XSS 也可用于绕过基于 Token 和 Referer 的 CSRF 保护。