Cookie set without Secure Flag

Inhaltsverzeichnis

Was bedeutet Cookie set without Secure Flag?

Definition

Wenn die Secure Flag für ein Cookie gesetzt ist, senden Browser das Cookie nicht in Anfragen, die eine unverschlüsselte HTTP-Verbindung verwenden. Dadurch wird verhindert, dass das Cookie von einem Angreifer abgefangen wird, der den Netzwerkverkehr überwacht. Wenn die Secure Flag nicht gesetzt (Cookie set without Secure Flag) ist, wird das Cookie im Klartext übermittelt, wenn der Benutzer HTTP-URLs im Gültigkeitsbereich des Cookies besucht.

Ein Angreifer kann dieses Ereignis möglicherweise veranlassen, indem er einem Benutzer geeignete Links entweder direkt oder über eine andere Website übermittelt. Selbst wenn die Domain, die das Cookie ausgestellt hat, keinen Inhalt hostet, auf den über HTTP zugegriffen wird, kann ein Angreifer möglicherweise Links des Formats http://example.com:443/ verwenden, um denselben Angriff auszuführen.

Beschreibung

Um diese Sicherheitsanfälligkeit auszunutzen, muss ein Angreifer so positioniert sein, dass er den Netzwerkverkehr des Opfers abhören kann. Dieses Szenario tritt normalerweise auf, wenn ein Client mit dem Server über eine unsichere Verbindung wie ein öffentliches WLAN oder ein Unternehmens- oder Heimnetzwerk kommuniziert, das mit einem kompromittierten Computer gemeinsam genutzt wird.

Übliche Abwehrmechanismen wie Switched Networks reichen nicht aus, um dies zu verhindern. Ein Angreifer, der sich im ISP des Benutzers oder in der Hosting-Infrastruktur der Anwendung befindet, kann diesen Angriff ebenfalls ausführen. Beachten Sie, dass ein avancierter Angreifer potenziell auf alle Verbindungen abzielen kann, die über die Kerninfrastruktur des Internets hergestellt werden.

Security Scanner suchen nach Cookies, die während einer HTTPS-Sitzung gesetzt wurden, löst eine Warnmeldung für diejenigen aus, die gesetzt sind, aber keine Secure Flag enthalten. Ein Cookie, der mit einer Secure Flag gesetzt wurde, wird nicht während einer einfachen HTTP-Sitzung gesetzt.

Tipp

Überprüfen Sie die Sicherheit Ihrer Website mit unserem kostenlosen Security Crawler oder mit der OSG Performance Suite Free Version.

Lösung

Die Secure Flag sollte für alle Cookies gesetzt werden, die zum Übertragen sensibler Daten beim Zugriff auf Inhalte über HTTPS verwendet werden. Wenn Cookies zum Übertragen von Sitzungstoken verwendet werden, sollten Bereiche der Anwendung, auf die über HTTPS zugegriffen wird, einen eigenen Mechanismus für die Session Token verwenden, und die verwendeten SessionTokens sollten niemals über unverschlüsselte Kommunikation übertragen werden.

Um dieses Ziel zu erreichen, senden Browser, die die Secure Flag unterstützen, nur dann Cookies mit der Secure Flag, wenn die Anforderung an eine HTTPS-Seite gesendet wird. Anders ausgedrückt: Der Browser sendet kein Cookie mit der Secure Flag über eine unverschlüsselte HTTP-Anfrage.