より大きな Web アプリケーションの一部であるプロキシ sevlet を介してユーザーがアクセスできる Web アプリケーションがあります。ブラウザとより大きなアプリケーション間の通信は、ssl によって暗号化されます。組み込みアプリケーションから、ユーザーのセッションを示す安全な Cookie を設定したいと考えています。プロキシ サーブレットと Web アプリケーションの間の通信は暗号化されていないため、セッション ID Cookie を設定してもセキュア フラグがありません。私のアプリケーションは tomcat で実行されており、この tomcat からの応答はプロキシ サーブレットによってクライアントのブラウザにプロキシされます。
この Cookie は安全であると示されていませんが、安全であり、他人が乗っ取ることはできませんか? その状況で、ブラウザは安全でない接続でクッキーを送り返すことができますか?
編集：
明確にするために、そのソリューションのアーキテクチャをもう少し指定します。
2 つの Web アプリケーションがあり、それぞれに独自のセッションがあります。1) 1 つはユーザーが直接アクセスでき、アプリケーションとブラウザー間の通信は SSL によって暗号化されます。(アプリケーション X) 2) ユーザーは 2 番目にアクセスできませんが、アプリケーション X のサーブレットによってプロキシされます (アプリケーション Y) サーブレットは、http ヘッダーもプロキシします。
アーキテクチャは次の図のようになります。
クライアント ブラウザ| <-SSL-> |アプリケーション X (プロキシ サーブレット) | <-内部ネットワーク、SSL なし -> |アプリケーション Y
セッションを示すアプリケーション Y からクライアント ブラウザに Cookie を設定したいと考えています。Cookie ヘッダーはアプリケーション Y から X に取得され、クライアントのブラウザーに設定されますが、残念ながらこのヘッダーにはセキュア フラグがありません。安全な接続でブラウザから送り返されるかどうかはわかりません。