Bài giảng An ninh mạng - Bài 8: An toàn dịch vụ web - Quản lý phiên. Bài này cung cấp cho sinh viên những nội dung gồm: cookie; HTTP cookie; chính sách SOP cho cookie; cookie của bên thứ 3 (third-party); đọc ghi cookie tại trình duyệt; các lỗ hổng của cookie; quản lý phiên; sử dụng HTTP auth; HTTP referer; xử lý đăng xuất; . Mời các bạn cùng tham khảo! | BÀI 8. AN TOÀN DỊCH VỤ WEB QUẢN LÝ PHIÊN Bùi Trọng Tùng Viện Công nghệ thông tin và Truyền thông Đại học Bách khoa Hà Nội 1 1. COOKIE Bùi Trọng Tùng Viện Công nghệ thông tin và Truyền thông Đại học Bách khoa Hà Nội 2 1 HTTP là giao thức stateless Một phiên hoạt động của HTTP Trình duyệt kết nối với Web server Trình duyệt gửi thông điệp yêu cầu HTTP Request Web server đáp ứng với một thông điệp HTTP Response lặp lại Trình duyệt ngắt kết nối Các thông điệp HTTP Request được xử lý độc lập Web server không ghi nhớ trạng thái của phiên HTTP 3 HTTP Cookie HTTP Request HTTP Response Cookie Cookie Cookie Trình duyệt Web server HTTP Request Cookie Cookie dữ liệu do Web server tạo ra chứa thông tin trạng thái của phiên làm việc Server có thể lưu lại cookie một phần hoặc toàn bộ Sau khi xử lý yêu cầu Web server trả lại thông điệp HTTP Response với coookie đính kèm Set-Cookie key value options Trình duyệt lưu cookie Trình duyệt gửi HTTP Request tiếp theo với cookie được đính kèm 4 2 HTTP Cookie - Ví dụ HTTP Response 5 HTTP Cookie - Ví dụ HTTP Request 6 3 HTTP Cookie HTTP Request Trình duyệt HTTP Response Web server Set-cookie NAME VALUE Cookie domain where to send scope path where to send secure only send over SSL expires when expires HttpOnly Cookie scope chỉ định các trang web sẽ gửi cookie tới HttpOnly không thể đọc cookie bằng Javascript tại client 7 Chính sách SOP cho cookie Địa chỉ URL scheme domain port path params Nguồn origin của cookie được xác định bởi domain path và scheme không bắt buộc Thiết lập cookie một trang web có thể thiết lập cookie cho các trang có cùng tên miền hoặc mang tên miền cấp trên trừ tên miền cấp 1 Ví dụ trang Web có domain là Thiết lập được cookie với domain Không thiết lập được với domain .com path bất kỳ giá trị nào 8 4 Chính sách SOP cho cookie Đọc cookie Server có thể đọc được tất cả cookie trong scope của nó Trình duyệt gửi tất cả cookie trong scope domain và path tới .
