9

Estava a ler um artigo e achei curioso uma frase deste, onde o autor faz uma lista (logo nos primeiros parágrafos do artigo) dos principais cuidados relativamente a segurança que nós desenvolvedores devemos ter em conta.

A frase em questão é:

Criar cookies seguros, que só funcionem via HTTPS e que não sejam acessados por JavaScript;

A minha questão surge nesta parte, o que são cookies que "não sejam acessados por javascript"?

Por experiência própria nunca tive qualquer problema com as operações do lado cliente que envolviam cookies por causa deste ou semelhante motivo.

Obviamente falando no contexto http + browser (http + navegador).

Visto que esses cookies estão no nosso browser o que nos impede de os obter? Existe algum cookie/sessão que não esteja comtemplado em document.cookie? Ou mesmo simplesmente vendo os headers da requisição (têm sempre de estar presentes aqui certo?)?

Também ponho a hipótese de o autor se ter enganado e não querer dizer bem isto.

7
  • Boa pergunta, não lembro de ter visto esse tipo de cookie enquanto programava WEB Commented 11/04/2017 às 16:25
  • Eu confesso que estou inclinado para que tenha sido um engano por parte do autor @PauloHDSousa, mas gostava de ter mesmo a certeza
    – Miguel
    Commented 11/04/2017 às 16:27
  • Eu até tinha respondido e depois que enviei parei pra ler novamente. Imaginei que você estivesse falando sobre httpOnly.
    – Aline
    Commented 11/04/2017 às 17:04
  • Olá @Aline eu cheguei a ler a tua resposta, mas estava no carro e não consegui dizer nada até agora. Editei a pergunta, mas basicamente existe algum tipo de cookie/sessão que não esteja em document.cookie? Se sim, podes acrescentar à tua resposta uma maneira de o fazer sff?
    – Miguel
    Commented 11/04/2017 às 22:57
  • Se for em PHP, tem uma opção no php.ini: session.cookie_secure = 0 que pode ser alterada para session.cookie_secure = 1. Porém só conseguirá criar uma sessão sob https.
    – Maurivan
    Commented 11/04/2017 às 22:58

3 Respostas 3

5

[...] o que são cookies que "não sejam acessados por javascript"?

São cookies criados com o marcador HttpOnly, que deve ser pareado com o marcador Secure. Por exemplo:

COOKIEKEY=COOKIEVAL;HttpOnly;Secure

O marcador Secure indica que o cookie pode apenas ser transitado em conexões seguras (https).

O marcador HttpOnly faz com que o conteúdo do cookie não seja disponibilizado para o engine JavaScript, sendo apenas transitado no cabeçalho da requisição HTTP.

Alguns browsers antigos não respeitavam, ou implementavam incorretamente, a interpretação do marcador HttpOnly. Todas as versões atuais dos browsers mais utilizados respeitam a implementação. A tabela a seguir (fonte) indica a compatibilidade e funcionalidade por versões anteriores a 2011:

inserir a descrição da imagem aqui

4
  • 2
    Poxa esta na hora dos SOs terem tabelas, eu sei que tem um argumento forte, mas acho que todas comunidades tem membros o suficientes para editar e corrigir possíveis falhas de formatações. +1
    – Syzoth
    Commented 11/04/2017 às 22:36
  • @GuilhermeNascimento pois é. Eu sinto a maior falta de usar tabelas para exibir... dados tabulares.
    – OnoSendai
    Commented 11/04/2017 às 22:44
  • 1
    Ha também estava a responder ao mesmo tempo OnoSendai, hehe. Obrigado pela resposta
    – Miguel
    Commented 11/04/2017 às 22:46
  • 1
    @OnoSendai o "forte argumento" deles é esse meta.stackexchange.com/a/228464/198279, de minha parte acho um exagero eles pensarem assim, afinal é pra isso que é permitido editar qualquer coisa. Gostaria muito que eles vissem isto de outra agora.
    – Syzoth
    Commented 11/04/2017 às 22:48
3

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção: nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui

0

Não só é possível como é fortemente sugerido. Claro, dependendo da forma como você irá usá-lo e do que pretende armazenar.

Quando você define um cookie com: httpOnly, quer dizer que apenas o servidor têm acesso a essa informação, ou seja, não é possível recupera-lo através de js. Não parece seguro? Já que sua informação já está disponível ali mesmo? Se você pretende adicionar uma informação da qual as pessoas não deveriam ter acesso, possivelmente ela estará criptografada e o cookie está apenas atuando como um repositório local.

Esta técnica é bastante simples e pára a maioria dos problemas de cookies baseados em XSS, como bem sabe o stackoverflow, sobre um dos mais famosos problemas relacionados a isso.

É possível ler mais a respeito em: https://blog.codinghorror.com/protecting-your-cookies-httponly/

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .