كيف تؤمن المواقع ملفات الكوكيز ؟ طلب للنقاش

بحسب خبرتي وتجربتي من الصعب أحياناً حماية هذه الملفات لأنها حرفياً هي ملفات تعريف الإرتباط .. ولكن يمكن دمج تقنيات أخرى من أجل منع إعادة استخدام هذه الملفات خارج متصفح المستخدم إذا سرقت.

في البداية الحماية تبدأ بمنع الوصول إلى هذه الملفات من خلال الـ JavaScript لأنه في حال وجود ثغرة مثل XSS يمكن للمخترق سرقة هذه الكوكيز عن بعد ولذلك يجب حمايتها من خلال خيار HTTP ONLY وغيرها من الخيارات.

بعد ذلك، لنفترض أن المخترق بطريقة ما سرق هذه الملفات، كيف نمنع استخدامها خارج متصف المستخدم؟

إحدى الطرق هي ربط هي الكوكيز بنوع متصفح المستخدم مثلاً Chrome ونوع جهازه مثلاً Windows .. وبذلك إذا حاول المخترق الدخول إلى الحساب من خلال متصفح Firefox ولو ان نظام تشغيله Windows لن تعمل الكوكيز بل يمكن عمل Block مباشر لـ IP هذا الشخص مباشرة.

هذه الطريقة ليست فعالة كثيراً لأن المخترق قد يستخدم نفس المتصفح ونظام التشغيل وعليه يجب القيام بأكثر من ذلك.

إحدى الطرق الحديثة التي فكرت بها هي ربط الكوكيز ببصمة المتصفح عند تسجيل الدخول .. بصمة المتصفح يمكن أخذها من خلال العديد من المكتبات والتي لا تتغير عند حذف Data المتصفح ونسبة نجاحها أكثر من 95% أي أنه يمكن الاعتماد عليها كخط دفاع أول أي في حال سرق المخترق الكوكيز لن يستطيع الدخول إلى الحساب لأنه لا يملك بصمة المتصفح الفريدة التي تم تسجيل الدخول من خلاله. ويمكن أيضاً تسجيل بصمة المخترق الخاطئة في Log لكي يتم حظره من الموقع بأكمله بالإضافة إلى عنوان الـ IP الخاص به وغيرها.

مشكلة هذه الطريقة الوحيدة هي أنها قد تعتبر انتهاكاً لخصوصية المستخدم نوعاً ما كما أن بعض المتصفحات قد تقوم بتعطيل هذه الخاصية وبالتالي قد يواجه المستخدم مشاكل عند تسجيل الدخول ولكن بحسب ما أعرفه فالعديد من الشركات خاصة المالية منها تستخدم هذه الطرق مجتمعة لمنع سرق الحسابات بشكل فعّال.