Отсутствуют безопасные атрибуты в файлах cookie: WL_PERSISTENT_COOKIE и testcookie.

В результате проверки безопасности я получил следующую ошибку:

«Отсутствует безопасный атрибут в файле cookie зашифрованного сеанса (SSL)» для WL_PERSISTENT_COOKIE и testcookie.

Я не знаю, как установить безопасный атрибут для этих файлов cookie, с сервера веб-сферы он просто позволяет мне установить безопасный атрибут для файла cookie JSESSIONID, но не для других.

Вот мои выводы из результатов моего сканирования приложений:

  • testcookie: Этот файл cookie создается в файле worklight.js. Согласно appscan, приложение отправляет запрос на сервер (GET /ParkingApp/apps/services/preview/SmarterParking/common/0/default/worklight/worklight.js HTTP/1.1), а сервер отвечает этим файлом, в котором есть следующий фрагмент кода:

    areCookiesEnabled : function() {
    var enabled = true;
    if (WL.EnvProfile.isEnabled(WL.EPField.WEB)) {
        var date = new Date();
        date.setTime(date.getTime() + (24 * 60 * 60 * 1000));
        document.cookie = "testcookie=oreo; expires=" + date.toGMTString() + "; path=/";
        var cookie = getCookie('testcookie');
        enabled = (cookie.value === 'oreo');
    }
    return enabled;
}

    Итак, я понимаю, что cookie устанавливается в этом файле, поскольку последующие запросы и ответы обмениваются testcookie.

Как я могу отредактировать этот файл, поскольку он кажется предопределенным файлом в Worklight? Будет ли хорошей практикой отредактировать этот файл, чтобы я изменил эту строку, чтобы включить безопасный атрибут?

  • WL_PERSISTENT_COOKIE: С этим файлом cookie я немного застрял, сервер worklight ищет этот файл cookie в запросе и, если он не найден, отправляет его обратно клиенту в заголовке set-cookie. На самом деле это то, что я вижу при сканировании безопасности, однако сервер не устанавливает для этого файла cookie безопасный атрибут, и я не нахожу этот параметр в настройках сервера веб-сферы. Как я могу установить для постоянного файла cookie безопасный атрибут?

Заранее большое спасибо!


ibm-mobilefirst worklight-security
person Irene Marquet    schedule 17.03.2015    source источник
comment
какая версия WL? У вас есть обновленный WL с последним пакетом исправлений/iFix?   -  person Leandro David    schedule 17.03.2015
comment
Привет! Я использую WL 6.2. Как повлияет использование последней версии в этой проблеме? Это потому, что на сервере также работает WL 6.2, так что все наши приложения используют эту версию, мы еще не начали миграцию.   -  person Irene Marquet    schedule 17.03.2015
comment
Можете ли вы предоставить более подробную информацию о выполненном вами сканировании системы безопасности? Я пытаюсь найти эксперта по безопасности, чтобы помочь в этом, и более подробная информация может помочь   -  person Leandro David    schedule 17.03.2015

Ответы (2)


arrow_upward
3
arrow_downward

Короткий ответ заключается в том, что нет возможности установить безопасный атрибут для любого из этих файлов cookie. Эти 2 файла cookie не считаются конфиденциальными. Но AppScan не знает, являются ли это конфиденциальными файлами cookie или нет, поэтому просто сообщает, что атрибут безопасности не установлен.

В случае с testcookie клиент использует его только для проверки возможности установки файлов cookie. Он вообще не используется сервером.

WL_PERSISTENT_COOKIE — это случайно сгенерированный идентификатор для связывания запроса с идентификатором пользователя, когда другой идентификатор пользователя не установлен. Он используется внутри для представления анонимного идентификатора в таких целях, как отслеживание/отчетность. Он не используется для защиты ресурсов, требующих аутентификации и авторизации. Таким образом, захват токена WL_PERSISTENT_COOKIE и его использование с другого устройства или другого сеанса не предоставит никаких дополнительных или иных привилегий.

person billdodd    schedule 17.03.2015
comment
Большое спасибо за ответ! Это действительно отвечает на мой вопрос. Эти файлы cookie нельзя изменить, но на самом деле они не являются конфиденциальными, как вы объяснили. Спасибо, потому что теперь я лучше понимаю назначение файлов cookie. - person Irene Marquet; 18.03.2015

arrow_upward
1
arrow_downward

Похоже, что и testcookie, и WL_PERSISTENT_COOKIE используются Worklight. testcookie — это просто поддельный файл cookie, используемый для проверки того, включены ли файлы cookie, а WL_PERSISTENT_COOKIE используется постоянным аутентификатором файлов cookie, как описано в документации здесь:

http://www-01.ibm.com/support/knowledgecenter/SSZH4A_6.2.0/com.ibm.worklight.dev.doc/devref/r_persistent_cookie_authenticato.html

Я думаю, что вы не можете изменить эти файлы cookie, поскольку они используются/устанавливаются Worklight.

person Leandro David    schedule 17.03.2015
comment
Большое спасибо за ответ! Это действительно отвечает на мой вопрос. Эти файлы cookie не могут быть изменены, но на самом деле они не являются чувствительными. - person Irene Marquet; 18.03.2015