asp.net - ¿Pueden copiarse cookies entre máquinas para suplantar a un usuario?

security xss

Question

Tenemos una aplicación que, entre otras cosas, comprueba la existencia de una cookie y lee y descifra el contenido de la cookie. Aunque los datos almacenados dentro de la cookie no son confidenciales, se han cifrado a través del cifrado TripleDes. Hoy se planteó una pregunta sobre si la cookie guardada en una sola PC, podría copiarse en otra PC y si la aplicación web detectaría la presencia de esta cookie copiada en otra máquina, y finalmente descifraría lo que tendría en la PC original.

Mi pregunta es la siguiente: utilizamos la implementación estándar de ASP.NET para guardar cookies (es decir, a través de HttpResponse), ¿impide el archivo index.dat trasplantar una cookie de una máquina a otra? ¿Qué pasa si el archivo index.dat también fue transportado y copiado, o hay alguna estructura interna dentro de index.dat que vincule una cookie a una máquina específica?

Answer 1

Absolutamente. Esta es una forma de que los ataques de secuencias de comandos entre sitios (XSS) funcionen:

1. Inyecto javascript en una página
2. Espero a que alguien mire la página
3. El javascript I inyectado me envía tus cookies
4. Me conecto como tú y hago cosas malas

Este problema particular mordió SO durante la versión beta privada.

Answer 2

Además de las otras respuestas. Nunca confíes en nada que provenga del usuario de una aplicación web, independientemente de si está encriptada.

Esto se relaciona con la idea de validar la entrada tanto en el cliente como en el servidor. No confíes en que la validación en el cliente haya terminado.

Answer 3

Sí, robar cookies es una técnica común para robar una sesión de un usuario.

Algunos sitios intentan vincular una cookie a la IP del cliente, pero esto falla frente a los grandes proxies corporativos con múltiples interfaces externas u otras locas configuraciones.

Answer 4

Incluso si todo lo demás está bien, si alguien puede obtener acceso físico a la máquina del usuario, podría copiar las cookies a otra máquina.

Por ejemplo, solo clona el disco si es necesario.