شماره: IRCNE2015092641
تاريخ: 07/07/94
كوكي ها، فايل هايي هستند كه وب سايت ها براي حفظ كاربران لاگين شده و ردگيري ساير اطلاعات آن ها در مرورگر ايجاد مي كنند. اين كوكي ها مي توانند توسط مهاجمان براي استخراج اطلاعات حساس از ارتباطات رمزگذاري شده HTTPS مورد سوء استفاده قرار بگيرند.
مسائل مربوط به ايجاد و مديريت كوكي ها، مكانيزمي براي ايزوله كردن يا بررسي يكپارچگي آن ها ارائه نمي دهد. هم چنين مرورگرهاي وب دامنه هايي كه كوكي ها را آماده مي كنند را احراز هويت نمي كنند. در نتيجه مهاجمان خرابكار مي توانند كوكي هايي را از طريق ارتباطات ساده HTTP تزريق كنند و اين كوكي ها به جاي كوكي هاي توليد شده توسط سايت هاي HTTPS ارسال مي شود.
يكي از دلايل وقوع اين اتفاق آن است كه زيردامنه ها مي توانند كوكي هايي را ايجاد كنند كه براي دامنه هاي والد يا ساير زيردامنه ها معتبر باشد.
به عنوان مثال، اگر دامنه subdomain.domain.com يك كوكي با صفات دامنه domain.com ايجاد كند، آن كوكي بايد توسط مرورگر به دامنه subdomain2.domain.com نيز ارسال شود. سايت ميزباني شده بر روي دامنه subdomain2 قادر نيست تا كوكي خودش را با كوكي تقلبي تشخيص دهد.
هم چنين كوكي ها نمي توانند توسط شماره پورت ايزوله شوند. يك سرور مي تواند چندين وب سايت را از طريق دامنه يكسان اما بر روي پورت هاي مختلف ميزباني كند. اين وب سايت ها قادر خواهند بود تا كوكي هاي يكديگر را بخوانند و يا بنويسند.
تمامي اين ناسازگاري ها مي توانند به مهاجمان MitM اجازه دهند تا حملات تزريق كوكي را اجرا نمايند و مي توانند براي استخراج اطلاعات حساس از ارتباطات HTTPS مورد سوء استفاده قرار بگيرند.
گروهي از محققان امنيتي از دانشگاه هاي معتبر تحقيقي را انجام دادند و دريافتند كه مي توان گجت هاي چت كاربران را در واسط جيميل به سرقت برد، تاريخچه هاي جستجوي گوگل را دزديد، اطلاعات كارت اعتباري وب سايت UnionPay چيني را به سرقت برد، كارت هاي خريد را بر روي سايت هاي تجاري الكترونيكي ردگيري و دستكاري كرد، تاريخچه خريدهاي سايت آمازون را ردگيري كرد و بسياي سوء استفاده هاي ديگر را مي توان از طريق سوء استفاده از نقاط ضعف كوكي ها اجرا نمود.
در راهنمايي امنيتي سايت CERT/CC آمده است: برخي از توليدكنندگان مرورگر وب نشان دادند كه تلاش هاي گذشته براي مديريت امن كوكي ها به دليل كمبود استانداردهاي پياده سازي با شكست مواجه شده است.
استفاده از مكانيزم HSTS براي مجبور كردن مرورگر به دسترسي دائمي از طريق ارتباطات HTTPS مي تواند تا حدودي با خطرات مقابله كند.
آخرين نسخه از تمامي مرورگرهاي اصلي از HSTS پشتيباني مي كنند اما به منظور استفاده موثر از اين مكانيزم عليه حملات تزريق كوكي، وب سايت ها بايد اين مكانيزم را پياده سازي كنند.
با توجه به داده هاي آماري تنها 4.5 درصد از وب سايت هاي HTTPS از مكانيزم HSTS پشتيباني مي كنند.
- 6