ログインページがSSLを使用して、暗号化されていないページは暗号化されたセッションクッキー（Grailsの、Acegiのは）

Question

セットアップが表示されません'/ login/**'はmy channelConfig.secure []リストにありますが、他のほとんどはchannelConfig.insecure []に​​あります。/loginのリクエストはすべてhttps：//にリダイレクトされ、他のすべてのリクエストはhttp：//にリダイレクトされます。

私の問題は、ログインプロセスがCookieを「暗号化された接続のみで送信」に設定するため、ログインページが/ homeにリダイレクトされると、ホームページにCookieが表示されずにリンク先ページ。私が再度ログインしようとすると、ログインページはクッキーを見て、私をリダイレクトします。

私はthis page about SecurityConfigで狩りを行い、暗号化されていないHTTP経由で作成されたSSL上のCookieを読み取るオプションがあるかどうかを確認しましたが、何も見つかりませんでした。暗号化されていないコントローラでログインCookieを利用できるように設定できるオプションはありますか？

Answer 1

これは脆弱性です。

セッションクッキーを見ることができるman-in-the-middleは、ユーザーとしてリクエストを行うことができます。これは、パスワードが傍受されるほど悪いです。 man-in-the-middle自分自身で新しいセッションを確立することはできないだろうが、彼は、ユーザーがユーザーがログイン後に何かできることを行うことができるだろう。

---

SSLを使用してはありませんログイン時にユーザー名とパスワードを単に隠すだけではありません。

最初に、クライアントとサーバー間のすべてのメッセージに対して機密性を提供します。機密データとしてパスワードを認識するのは簡単ですが、どのアプリケーション機能が機密データを使用しているかは明白ではないかもしれません。ユーザー入力と動的に生成されるコンテンツを保護することは、アプリケーションで使用される各データフィールドのプライバシー問題を慎重に評価するよりも安全で簡単です。画像、ヘルプページなどの静的コンテンツはおそらく敏感ではありませんが、そのコンテンツの要求を分析することで、攻撃者はユーザーがサイト上で何をしているかを知ることができます。

第2に、SSLはすべての要求に対して完全性を提供します。これにより、攻撃者は、自分の悪意のある入力を変更したり、ユーザーの要求に追加したり、サーバーによって生成された結果を変更したりすることができなくなります。