Yesod oturum çerezi neden ele geçirilemiyor?

Question

Yesod book

şifreleme verilerini teftiş gelen engeller diyor ve imza oturumu kaçırdılar olabilir ne de tahrif olmasını sağlar. Bu durumda neden

Bana net değil. bir kulak misafiri sunucudan gönderilen olarak çerezin ele alır ve meşru kullanıcının başka istekte önce kullanıyorsa, oturum ele geçirildiğinden sona ermeyecek?

Gerçekten oturum saldırılarını önlemenin tek yolu boyunca SSL kullanmaktır geliyor bana. (: @sr_ açıklamalarda işaret ettiği gibi havai kadarıyla kaçırma önlenmesi ile ilgili olarak, aksi hala yararlıdır EDIT.) Ama çok sonra yaparsanız Yesod'a tarafından yapılan imzalama ve şifreleme olmaktan gereksiz havai biter. İyi bir av var

Answer 1

. Bu, daha önce, daha önce, daha sonra, ele geçirme işleminin engellenmesi için müşterinin çerezdeki IP adresini içerdiğimiz zaman daha doğru olur. Anti-kurcalama korumaları ile birleştiğinde, bir MITM saldırısının, aynı yönlendiricinin arkasında NAT'ınız yoksa veya aynı proxy'yi kullanmanızın dışında çalışmasını temel olarak imkansız hale getirdi.

Maalesef yanı nedeniyle proxy sunucuları hakkında endişelere o korumasını devre dışı zorunda kaldı. Tek bir kullanıcının taleplerinin ara proxy sunucuları nedeniyle birden fazla IP adresinden gelmesi mümkündür. Bunun ne sıklıkta gerçekleştiğini anlatacak veri yok, ancak bu güvenlik özelliğiyle ilgili olarak, bu özelliği devre dışı bıraktığımız için kırılmalara neden olan endişeler vardı.

, I've corrected the book bu açtığın için teşekkür ederiz. Burada hafifletilir