поведение cookie по умолчанию по SSL

Question

Мое веб-приложение полностью использует SSL. Я хотел некоторую информацию о следующих пунктах:

1. Я просто хотел бы знать, что есть какой-то шанс печенья делилось на HTTP, а не на защищенном HTTPS.

2. Или если приложение использует SSL, то каким будет поведение cookie по умолчанию. Они будут передаваться через HTTP или HTTPS.

3. Должен ли я сделать дополнительную настройку, если я хочу, чтобы все куки были разделены только через HTTPS.

4. Как сделать эти настройки (если требуется) для приложения java.

5. Как выглядит безопасное куки. Будет ли оно видимым зашифрованным или вообще не будет видно.

В моем приложении я использую Mozilla добавить на: поджигатель, чтобы проверить, что все куки защищены .. Я могу видеть, что некоторые из печенья обеспечены и некоторые из них не являются. Итак, как это работает. Я не использую какое-либо конкретное свойство, чтобы защитить несколько файлов cookie.

Answer 1

В Servlet 3.0 совместимых серверов приложений можно установить Http только и безопасные флаги для куки сессии (JSESSIONID), добавив следующее в web.xml:

<session-config> 
    ... 
    <cookie-config> 
     <http-only>true</http-only> 
     <secure>true</secure> 
    </cookie-config> 
</session-config> 

Secure and HttpOnly flags for session cookie Websphere 7 См

Для другое печенье, вы можете установить флаг secure:

setSecure(boolean flag) общественного вакуум

Указывает, следует ли отправлять cookie только с помощью защищенного протокола , такого как HTTPS или SSL.

http://docs.oracle.com/javase/7/docs/api/java/net/HttpCookie.html#setSecure%28boolean%29

Безопасные куки не используйте (дополнительный) шифрование. Транспортный уровень SSL/TLS обеспечивает шифрование для HTTPS, поэтому протокол HTTP, включая файлы cookie, будет зашифрован.

Относительно Q 1..3: если соединение использует HTTP и вы помечаете куки-файлы как защищенные, они будут отправлены клиенту по HTTP, но клиент (совместимый) не отправит их обратно через не- - безопасное соединение. Значение по умолчанию для безопасного флага не указано afaik. Поэтому я рекомендую установить безопасный флаг для всех файлов cookie, используемых приложением, в true, если веб-приложение доступно через HTTPS (либо напрямую, либо через прокси-сервер обратного пути).