İşin püf noktası da "sonunda" Evrenin öngörülen yaşam süresinin ötesine geçmesini sağlamak. Üstel değerler nedeniyle bu oldukça kolaydır: Yeterince uzun bir çerez kullanın. Eklenen her bir bit, olası çerez değerlerinin sayısını ikiye katlar .

Örneğin, 16 milyar kullanıcınız olduğunu varsayın (yani, bebekler dahil her bir insan iki veya üç hesap oluşturur) . Bu yaklaşık 2 ³⁴ hesaptır. 160-bit çerezler kullanın (20 bayt, bir çerez için terletmeye gerek yok). Bu 2 ¹⁶⁰ olası çerez değeridir, bu nedenle her 2 ¹²⁶ içindeki yalnızca bir çerez değeri mevcut bir hesaba bağlanır. Şimdi, saldırganımız gerçekten motive oldu ve saniyede bir milyar değeri deneyecek (bu gerçekten büyük çünkü "bir çerez değeri denemek" sunucunuza bağlanmak anlamına geliyor, bu nedenle sunucunuzun yeterince itici olduğunu varsayıyoruz saniyede bir milyar bağlantıyı idare etmek için - muhtemelen tüm İnsanlığın müşteriniz olması durumunda bunu karşılayabilirsiniz). Bir milyar yaklaşık 2 ³⁰ , dolayısıyla saldırganın geçerli bir çerez değerine ulaşmadan önce yaklaşık 2 ⁹⁶ saniye denemesi gerekir. "2 ⁹⁶ saniye", "yaklaşık 2500 milyar yıl" olarak da bilinen bir süredir: bu saldırgan kesinlikle sabırlı ve kendini adamıştır.

Yani bu, alıştırma: birkaç bayt daha ve saldırganlar tam sayılar tarafından engellenir. Kilitleme özelliklerini uygulamaya gerek yoktur (özellikle kilitleme özellikleri bazen farkında olmadığınız herhangi bir tarayıcı hatasından veya bunun gibi kötü bir şeyden etkilenen dürüst müşterilere vurarak geri tepebilir). Elbette bu, çerez değerlerinin yeterince güçlü bir Random Number Generator ile oluşturulduğunu varsayar; Windows'ta CryptGenRandom (), Linux'ta / dev / urandom / * BSD / Solaris, Java ile java.security.SecureRandom düşünün.

(Evrenin yaşam süresiyle ilgili kısım, ancak Büyük Çatlak hipotezi doğruysa ve Tanrı yoksa doğrudur [çünkü sonsuzluk da biraz uzundur ]).

İyi (uzun, güçlü, rastgele) bir tanımlayıcı çerezi tahmin etmek, tipik bir şifreden çok daha zordur. Bu yeterince güvenli.

Buradaki püf noktası, "çok faktörlü" kimlik doğrulamasını kullanmaktır.

Çerez, artı IP adresi, artı HTTP başlığındaki diğer bilgiler, kullanıcının bir miktar "sürekliliğini" sağlar. Örneğin, aynı bilgisayarı her zaman aynı yerden kullanıyorsanız, kabul dili ve kullanıcı aracısı çok fazla değişmez.

Küçük bir JavaScript, benzer şekilde çok sık değişmemesi gereken window.screen bilgilerini döndürebilir.

Evet, sahtecilik yapılabilir. Ancak çoğu zaman, çalınan bir çerez, istekte beklenmedik bir HTTP üstbilgi değerine sahip beklenmedik bir IP adresine de ulaşır.

Diğer başlıklar hakkında herhangi bir şüphe, çerezin şüpheli olduğu ve sağlanır.

En önemli şey, TLS / SSL ile bağlantıyı güvence altına almaktır. Bu olmadan, SSL kullanmadan FireSheep'ten bir web uygulamasını koruyabilir misiniz? sayfasında belgelendiği gibi FireSheep gibi saldırılara karşı savunmasızsınız.

Bu noktada başka büyük riskler de ortaya çıkıyor oyun, oturum açılmış makineyi tehlikeye atan veya ona fiziksel erişim sağlayan biri gibi.

Diğerlerinin de belirttiği gibi, elde etmenin zor olmadığını belirttiği gibi, çerezdeki entropi miktarı hakkındaki soruya geri dönün. yeterince uzun ve yeterince rastgele bir çerez. Ayrıca bkz. Rastgele bir nonce ne kadar uzun olmalı? - BT Güvenliği - Yığın Değişimi

Henüz gündeme getirilmemiş bir diğer sorun ve bunun, başlıklı soruyla (kalıcı olarak oturum açılmış hesaplar) daha çok ilgisi var ve oturum çereziyle daha az ilgisi var:

Kalıcı olarak oturum açmış hesapları, potansiyel saldırgana çok daha geniş bir saldırı penceresi sağlar.
Saldırgan, bir şekilde çerezinizi çalmayı yönetirse (ör. FireSheep, makinenize erişim, vb.), süresiz olarak geçerli olacak ve böylece çalınan bir çerezin kötüye kullanılması olasılığını artıracaktır.
Ayrıca, gelecekte birisi istemci makinenize erişirse - ör. paylaşılan masaüstü bilgisayarlar, ödünç alınmış dizüstü bilgisayar (veya çalınmış), İnternet kafe - hâlâ oturum açmış durumdasınız.

Bununla birlikte, bu, uygulamanın bağlamına bağlı olarak kullanıcılar için genellikle mantıklı olacak bir değiş tokuştur . Örneğin, gmail'imde (ve SE sitelerimde) oturum açmış durumda kalmak istiyorum, ancak bankamda değil.
Öte yandan, çerezinizin ilk etapta çalınmasını önlemek (SSL, herkese açık bir makinede oturum açmayın) , işiniz bittiğinde çıkış yapın vb.) her zaman iyi bir fikirdir.

Aşağıda özetlendiği gibi, bu tür bir saldırı hakkında çok fazla endişelenmemenizin birkaç nedeni vardır:

• Boyut - Yeterince büyük , çerez değerinin bir parçası olduğu varsayıldığında, şu anda geçerli olan bir çerezle eşleşen bir değer oluşturmak çok pahalı (zaman ve donanım açısından) olacaktır. Ayrıca, çerez oluşturma sürecine dahil edilen tüm ek değişkenlerin saldırgan tarafından bilindiğini varsayıyorum, iyi olur.
• Uç nokta sınırlamaları - Sunucu Saniyede makul bir tahmin işleme hızı sağlamak için gereken ağ bağlantılarının miktarı düşünüldüğünde, ağ bağlantılarını sizin tarafınızdan yönetmek büyük olasılıkla inanılmaz bir darboğaz olacaktır (Potansiyel çerez değerlerinin aralığını düşünün!).
• Ağ bant genişliği - Bir sunucunun korkunç cehennem makinesine erişiminiz olduğunu varsayarsak bile, saldırgan bunun yerine saldırıyı gerçekleştirmek için mevcut ağ bant genişliğiyle sınırlı olacaktır.

Varsayım Saldırganın amacı bir kullanıcının kimliğine bürünmektir. Şüphelenmeyen kullanıcılardan çerezleri çalma girişiminin çok daha muhtemel olduğunu iddia ediyorum.

Evet, hiçbir şey için endişelenmiyorsunuz.

Öncelikle, tüm kombinasyonları deneyerek basitçe tahmin edilemeyecek kadar büyük bir anahtar kullanmalısınız. Örneğin, SHA1'in oturum açma adını, şifresini ve diğer bazı bilgileri şifrelerseniz, saniyede bir milyar kombinasyon denemek mümkün olsa bile, doğru kombinasyonu tahmin etmek evrenin yaşı daha uzun sürecektir.

Elbette daha risklidir, ancak güvenlik, riske karşı ödülü tartmakla ilgilidir (bu durumda kullanılabilirlik).

Çok daha fazla temel hata yaparsınız Çerezle ilgili bir sorun yaşamaktansa, her yerde HTTPS kullanımını zorlamamak.