Är Flashbacks kakor en säkerhetsrisk?

Ptja, jag har sysslat mycket med kaksäkerhet på den senare tiden så varför inte.

Ja, kakor är faktiskt en integritets,-och säkerhetsrisk, det kan vi inte förneka. Kakor är känsliga och de kan innehålla personlig information så det är absolut viktigt att skydda dem.

Jag måste också inflika med att andra domäner absolut INTE kan läsa dina Flashback-kakor. Det hade varit en extrem sårbar så det heter duga. Kakor är domän-specifika (alltid!) och den domänen som satt kakorna har enbart tillstånd att läsa dem. Så Flashback.org är den enda domän som kan läsa dina Flashback-kakor.

Men tillbaka till varför de är en sårbarhet. Jo, det finns absolut fall där kakor kan läcka ut, t.ex om en hacker lyckas få köra Javascript i din webbläsare när du besöker Flashback. Hackern kan då lura dig att det är Flashback som faktiskt använder detta Javascript och därför få detta skript tillåtelse att läsa dina kakor.

Nu, som LiLWiz nämnde så har Flashback faktiskt nyligen fixat detta efter jag klagade! *YAY* Men utöver det slängde Flashback på ännu bättre saker som jag inte ska gå in i detalj på idag.

Så ett kort svar som ni ska vara nöjda med:
Är Flashbacks kakor en säkerhetsrisk? Nej.

Förresten, klicka inte i "håll mig inloggad" för ökad säkerhet (diskuterbart).

Det grundläggande i TS oro är väl inte att bli av med sessions utan att användarnamnet ska läcka ut.. och då kan det ju i teorin röra sig om andra exploits än xss eller andra webläsargrejer.
Sen kanske det är en rätt liten risk oavsett, men finns det någon nackdel med att använda ett token eller en hash istället för att skriva uid i klartext?
Antar att det går åt lite mer ram och cpu, men det borde väl inte vara extremt mycket?

Intressant! Jag fattar i princip i n g e n t i n g av sånt här men har några funderingar, skrev om det i en annan tråd: (FB) Surfa osynligt?

Med andra ord, den bloggaren som påstod att hon såg vilken sida hennes besökare varit innan de klickade in på hennes blogg, är det sant, är det falskt, är det en överdrift, har hon något särskilt program som gör att just hon ser det? Ser "vem som helst" att jag/mitt ip varit inne på tex. aftonbl. eller fb innan jag besöker en annan sida? Jag bryr mig mindre om de ser mitt ip, jag vill av principskäl kunna surfa utan att någon håller koll på vilka sidor jag besöker.

Det är ju knappast rimligt att Flashback ska sköta säkerheten åt användarna. Är man orolig för att kakor ska avslöja användarnamn och lösenord så surfar man inkognito eller avmarkerar kryssrutan för att spara inloggningsuppgifter. Om man är rädd att Flashbacks databas ska hackas så registrerar man sig inte med sin jobbadress eller annan spårbar adress. Är man rädd att kontokortet ska bli hackat så betalar man inte med kort över nätet. Är du rädd för att bli rånad så har du inte tiotusen i kontanter på dig. Det är tyvärr väldigt lätt att glömma bort sitt eget ansvar.

Ptja, om vi ponerar att kakor läcker ut så bör det även vara möjligt med cookie smuggling/injection. Så om kakorna läcks ut så kan en hacker återanvända kakorna för att logga in som användaren, och då är allting kört.

Dock förutsätter det att Flashback inte binder kakor till IP och/eller UA (spoiler: det gör dem inte). Men visst, man kan göra kakor mer anonyma men det känns lite som ett dött race. Ser ju bra ut på papper, men i verkligheten är det nog diskutabelt. Men på rak arm kan jag dock ställa mig bakom att anonyma token är bättre än rena UID rent integritetsmässigt.

Tycker f.ö att man bör undvika ID och användarnamn och annat identifierbart i email-utskick. Data relaterad till användaren bör aldrig någonsin lämna domänen. Där har du lite samma dilemma som TS lyfter fram; om utomstående kan läsa personlig information så kan en koppling dras till den faktiska användaren.

Ni kan ju kolla om Flashback skriver användarnamn eller har ID med i mail som de skickar. Det bör ialafall helt klart tas bort.

Ja, det är den så kallade "referrer" som syns och är publik. Har funnits på webben i massor av år och folk lyfter sporadiskt fram problematiken med HTTP-fältet. Personligen håller jag helt med om att kritiken är giltig

Klienten bör fixa detta.

Chrome: besök chrome://flags/#reduced-referrer-granularity - Klick på "Enable"
Firefox: https://addons.mozilla.org/sv-se/firefox/addon/change-referer-button/

Precis den jag ville ha svar av här. Tackar. Återkommer nog med lite följdfrågor.

Ja och nej. Självfallet har man ett eget ansvar, men samtidigt är Flashback en sida gör ett stort nummer av att de dels ALDRIG lämnar ut någon info och dels att det är sidan där man får diskutera i stort sett vad som helst.

Att säga att man aldrig lämnar ut några uppgifter är av förståeliga skäl rätt meningslöst om inte säkerheten håller hyfsad standard. Det är alltså implicit ett löfte om detta.

Folk kan olika mycket om datasäkerhet. Därför tycker jag att det är rimligt att Flashback gör vad de kan för att hålla säkerheten på så hög nivå som möjligt. Om det nu som .Chloe säger är väldigt enkelt att lägga till httponly förstår jag verkligen inte varför detta inte görs. Sen finns det ju självfallet saker som Flashback aldrig kan skydda dig ifrån, såsom om du loggar in på en kompis dator och han har en keylogger. Eller jo, visst går det, men det blir väldigt omständligt. Ett sätt att lösa det är att göra inloggningarna maskinknutna, och om du ska logga in på en annan dator måste du först skapa ett temporärt lösenord som fungerar en gång. Mycket meck för lite värde dock.

Men till kontentan. Om det finns saker Flashback kan göra och dessutom inte är speciellt svårt tycker jag de bör göra det.