Bagaimana cara kerja panji "Aman" cookie?

102

Saya tahu bahwa cookie dengan securebendera tidak akan dikirim melalui koneksi yang tidak terenkripsi. Saya bertanya-tanya bagaimana ini bekerja secara mendalam.

Siapa yang bertanggung jawab untuk menentukan apakah cookie akan dikirim atau tidak?

http cookies session-cookies

— ted
sumber

Jawaban:

Klien menyetel ini hanya untuk koneksi terenkripsi dan ini didefinisikan di RFC 6265 :

Atribut Aman membatasi cakupan cookie untuk saluran "aman" (di mana "aman" ditentukan oleh agen pengguna). Jika cookie memiliki atribut Secure, agen pengguna akan menyertakan cookie dalam permintaan HTTP hanya jika permintaan tersebut dikirim melalui saluran aman (biasanya HTTP melalui Transport Layer Security (TLS) [RFC2818]).

Meskipun tampaknya berguna untuk melindungi cookie dari penyerang jaringan yang aktif, atribut Secure hanya melindungi kerahasiaan cookie. Penyerang jaringan yang aktif dapat menimpa cookie Aman dari saluran yang tidak aman, mengganggu integritasnya (lihat Bagian 8.6 untuk lebih jelasnya).

— Cratylus
sumber

seandainya sisi klien belum memiliki cookie dan mereka harus dikirim dari sisi server (mis. masuk) akankah sisi server yang memutuskan untuk menyertakan cookie sebagai tanggapan?

— ted

Server awalnya menyetel cookie melalui "Set-Cookie headers"

— Ivan

Hanya satu kata lain tentang masalah ini:

Menghilangkan securekarena situs web Anda example.comsepenuhnya https tidak cukup.

Jika pengguna Anda menjangkau secara eksplisit http://example.com, mereka akan dialihkan ke https://example.comtetapi itu sudah terlambat; permintaan pertama berisi cookie.

— Alain Tiemblo
sumber

Saya tahu ini sudah lama, tetapi pramuat HSTS membantu situasi ini dengan mencegah masalah ini sering terjadi. Ini masih belum 100% memperbaiki tetapi hanya hal lain yang perlu dipertimbangkan jika Anda benar-benar ingin menghindari cookie aman.

— Tn. MonoChrome

@ Mr.MonoChrome Mengapa Anda ingin menghindari cookie aman?

— MEMark

@ Mr. Monochrome meskipun beberapa browser dengan spesifikasi yang lebih lama atau lebih rendah, saya yakin, bahkan tidak mendukung HSTS

— oldboy

Poin yang bagus. Untuk aplikasi .NET, lebih baik melakukan redirect di IIS (atau web.config) daripada secara terprogram (misalnya globals.asax)

— piris

Jadi, jika Anda tidak mengalihkan dari http ke https, dan hanya melayani di https, Anda tidak perlu secure?

— mengerem