如果您通过SSL加密请求传递会话cookie,我是否正确地认为,只有直接访问已发送cookie的计算机或发送服务器的攻击者才能读取该cookie,前提是他们无法破解加密?
如果您通过SSL加密请求传递会话cookie,我是否正确地认为,只有直接访问已发送cookie的计算机或发送服务器的攻击者才能读取该cookie,前提是他们无法破解加密?
SSL加密所有的流量,包括头部(其中包含cookie值)。
另一方面,除非将其标记为HttpOnly,否则可以通过客户端机器上的Javascript访问cookie。黑客可能会通过XSS攻击来潜在地运行此脚本。
此外,有方法可以通过精心制作的电子邮件或网页劫持cookie。这被称为会话劫持或CSRF。
最后,对于在SSL终止点之外的任何网络连接,例如如果数据中心使用了SSL卸载和/或深度数据包检查,则cookie是可见的。
哦,还有一件事。如果SSL没有正确配置,它很容易受到MITM攻击的威胁,例如,您的服务器配置为接受空协议。在这种情况下,黑客当然可以轻松读取cookie。
我想这就够让你夜不能寐了。
是的,SSL会加密所有通过HTTP传输的内容。