Är Flashbacks kakor en säkerhetsrisk?

Jag är varken moderator eller admin, men svarar ändå eftersom frågan är av mer generell teknisk karaktär.

Tittar du i kakorna så står det "Domain: .flashback.org" och "Send For: Encrypted connections only". Det innebär att kakorna bara är tillgängliga för servrar som har ett ssl-certifikat utfärdat för flashback.org.

Det är inte meningen att andra siter skall komma åt dessa kakor. Skulle de lyckas så är det ett stort säkerhetshål i web-läsaren eller så har någon certifikat-utfärdare blivit hackad. Sådant händer, men är inte så vanligt att man som enskild användare behöver oroa sig.

Nej, den innehåller bara en kaka om vilken användare som är inloggad.

Jepp, men om en sida lyckas läsa den kakan kan de potentiellt koppla ihop din användare med ditt ip och som i fallet med länken jag gav i trådstarten (som var någon form av undersökning) kan de koppla ihop ditt användarnamn med de svaren du ger på frågorna.

Visst, att ha sådan information i en session vore att föredra. Men cookien i fråga skickas över HTTPS och är således krypterad.

Och vad kan det sen göra med ditt IP mer än att knyta det till ditt användarnamn och ddosa? Dom kan ju endå inte få fram din identitet

Vad skulle du säga om den länken som jag gav i trådstarten?


Det här är en bra början:
http://www.whereisip.net/

Och om sidan som får tag på ditt användarnamn är en undersökning i stil med denna:
Kön
Ålder
Civilstånd
Utbildning
Lön

så går det att fiska fram jävligt mycket.

Men vem fan klickar för det första på en anonym länk från PM, och vem fan sitter och fyller i en undersökning som skickats genom PM? Wheresisip är jävligt oexakt och man kan på sin höjd få ut ungefär vilken stad personer bor i. Sluta lek säkerhetsexpert

Det här handlade inte om en länk i PM. Det är det som är grejen. Man kan dessutom tänka sig sidor som inte länkats här på Flashback, men som ändå försöker komma åt kakorna. Exempelvis kanske jag misstänker att en viss person brukar skriva på Flashback, men jag vet inte dennes användarnamn. Däremot har denne ett facebookkonto. Då postar jag en sådan länk på Facebook och vips har jag användarnamnet.

Hur gör du, rent konkret, för att läsa kakan från sajten din länk pekar på?

Vilken märklig tråd. Ja, kakor identifierar användaren. Detta är svårt att gå runt på ett vettigt sätt. Visst, kakorna behöver inte innehålla användarid i klartext, men kan någon läsa dina kakor kan de å andra sidan använda dem till att logga in, och då lär de ju oavsett få reda på vilket konto kakorna är knutna till. Om du är orolig för att någon skall läsa dina kakor skall du göra en av två saker:

1) Se till att obehöriga inte kan läsa dina kakor
eller, om du av olika skäl inte är kapabel till 1 (t.ex. om du inte har full kontroll över din dator);

2) Låta bli att krysa i rutan som heter "kom ihåg mig", eller vad det nu står när du loggar in. Då kommer ingen direkt kontoinformation sparas i kakor på disk.

Nu ser fövrisso lite information ut att sparas ändå, bl.a. tid för senaste besök. Detta kan givetvis användas till att dels avgöra att en viss person besökt Flashback ö.h.t., och med mycket arbete, via Senaste Aktivitets-statusen ringa in en grupp potentiella användarkonton personen kan ha.

Rulle får dock gärna utveckla hur en länkad site skulle läsa användarens kakor.

Ingen aning.
Vet ej. Det var autismus-maximus som sade att det verkade som att sidan hade det syftet. Kanske hen kan förklara det?

Användaren .Chloe tog ju för inte så länge sen upp Cookies på Flashback och pekade på att de saknar HttpOnly. Då jag själv inte är speciellt intresserad av Cookies så vore det intressant att höra .Chloes resonemang kring TS.