Foro de elhacker.net

Pregunta: Cuando uno sniffea una red... aunque una conexion sea https las cookies viajan sin cifrar?

es decir, yo puedo sniffar el trafico para guardarme todas las cookies y asi entrar a una cuenta de Gmail por ejemplo?? utilizando las cookies sniffadas...


Grax
Salu2

Cuando una conexión es segura, es decir se usa http + tls/ssl TODOS los datos viajan cifrados, incluida la cookie, el problema viene cuando en esa web se redirige desde la parte segura a otras que no lo son, por lo que en ese caso la cookie viajará en texto plano como el resto de los datos.

Para evitar esto tenemos una propiedad en las cookies que es cookie "segura", y que deberíamos de marcarla siempre que en la cookie viajen datos relevantes o sesiones, así nos evitamos el caso anterior, ya que aunque se nos reenvíe a una zona no segura de la Web, la cookie al estar marcada como segura, seguirá viajando cifrada.

A parte de esto, hay otra propiedad que no se usa mucho pero que debería de hacerse, que es marcar la cookie como "http only". Al definir una cookie como HttpOnly, lo que estamos haciendo es eliminar la posibilidad de que ésta pueda ser leida por el navegador a través de javascript. Es decir, los navegadores que soportan este estándar, gestionan las cookies de igual manera, solo que ocultan parte de los datos de variable document.cookie de javascript, lo que impide el robo de las cookies de sesión a través de ataques de tipo XSS.

Gracias kamsky...
Aclarado tambien el otro tema que habia publicado...
Salu2