Hente info fra andre domeners cookies

[kongen]

Hvis sideA.com setter denne cookien i Pål sin Firefox:

setcookie("antall_annonsevisninger", "7");

Når Pål besøker sideB.com, kan sideB hente ut denne infoen, med f.eks. javascript, og gjøre forandringer, slik at cookieverdien blir "8"?

 

[adeneo]

Nei, man kan ikke endre andres cookies, det ville være et enormt sikkerhetshull !

 

[kongen]

Hva med litt sånn CORS da (hvis man eier begge domener)?

Access-Control-Allow-Origin: http://sideA.com
Access-Control-Allow-Credentials: true

 

[adeneo]

Access-Control-Allow-Credentials gjør at serveren ikke bare aksepterer forespørsler cross-domain, men også aksepterer cookies.
Det gjør det mulig å sende cookies med en ajax forespørsel til et annet domene, så fremt man setter "withCredentials" til "true" på klientsiden, men du kan fremdeles ikke endre cookies for andre domener med javascript, du kan kun sende nåværende cookies til sideB.com

Dersom du eier begge domenene er det vanlig å bruke en iFrame til dette, Facebook bruker for eksempel den teknikken til enkelte ting.

Det ligger et eksempel på Github på hvordan dette kan gjøres -> https://github.com/agibralter/iframe-widget-test

 

[kongen]

En iFrame kan kanskje løse dette ja, takk

Hva tror du forresten om en supercookie for å lage/spore ID, disse cookisene skal vist kunne leses av på andre nettsider enn der de er laget?

http://www.digi.no/932232/https-kan-gi-supercookie

Tror du denne sikkerhetsbristen vil tettes?

 

[adeneo]

Det kommer vel an på hva du skal lagre, dersom det er bruker ID, eller cookies som skal brukes til automatisk innlogging og slike ting, så bør innholdet i det minste krypteres og sikres så godt som mulig.

Dette med supercookies er overvurdert, de kan være nesten umulig å bli kvitt, og det er egentlig den store fordelen, de kan ikke umiddelbart leses på andre domener, da snakker man om web beacons og HSTS data og slikt, og det er kompliserte greier.

 

[kongen]

Nei, man kan ikke endre andres cookies, det ville være et enormt sikkerhetshull !

http://www.digi.no/932747/avslorte-alvorlig-ie-saarbarhet