security - マシンから別のマシンにクッキーをコピーするだけで、セッションのハイジャックを防ぐにはどうすればよいですか?

Question

ほとんどの Web アプリケーションは Cookie を使用してユーザーのセッションを管理し、ブラウザーを閉じてもログイン状態を維持できるようにします。

Cookie自体が安全であることを確認するために、すべてのことを行ったとしましょう。

マシンに物理的にアクセスできる人が Cookie をコピーして別のマシンで再利用し、セッションを盗むのを防ぐことは可能ですか?

score 27 · Accepted Answer

これに対して「保護」することは意味がありません。この種のコピーが発生した場合は、次のいずれかです。

エンドユーザーは、コンピュータを変更したかったので、わざとそれを行いました。もちろん、これはあなたが気にかけたり気にかけたりするべきことではありません。
攻撃者はすでにユーザーのブラウザーを侵害し、内部に保存されている Cookie にアクセスしています。定義上、この Cookie は、HTTP クライアントの ID を証明するシークレットです。攻撃者がすでにサーバーにアクセスできる場合、サーバーに合法的にアクセスする実際のユーザーを防止または区別することはできません。

score 16 · Accepted Answer

このリスクは、Cookie を使用してセッションを認証する場合に固有のものです。Cookie はベアラートークンであり、Cookie を提示できる人は誰でも認証されます。

これが、次のような追加の保護が表示される理由です。

2 に答える 2