現在、 と の 2 つのサイトがhttp://www.foo.co.ukありhttps://secure.foo.comます。
www サイトには SSL 証明書がなく、別のドメインにあります。
http://www.foo.co.ukクリックするとフォーム付きの iframe が開きhttps://secure.foo.com、ユーザーがログインするとそのドメインにセッション Cookie が作成されるログイン ボタンがあります ( foo.com)。
次に、セッション Cookie をコピーする必要があります。これにより、元のドメインに同じ Cookie を設定できるようにfoo.co.ukリダイレクトされます。http://www.foo.co.uk/setcookie.php?session=abcd1234
これはあまり安全な解決策ではないので、これを改善する方法を検討してきました - 私が見つけた最良のアイデアはhash_hmac、 setcookie.php スクリプトに params と一緒に何かを使用してハッシュを送信し、それを他のスクリプトで検証することですCookie を作成する前に終了します。
これは優れていますが、中間者攻撃を防ぐことはできません。www は SSL で保護されていないことに注意してください。これを完全に防ぐことはできないと思います。次善の策は、ハッシュにタイムスタンプを含めて 5 分間有効にすることです。
どうすればこれを改善できるか、またはこのアプローチの落とし穴を指摘できる人はいますか? 大変ありがたく存じます。