Dicas.NET - Aumentando a segurança dos cookies

Aumentando a segurança dos cookies

Os cookies que criamos em nossas aplicações web podem normalmente ser lidos não só pela nossa aplicação web mas também por códigos javascript.

Isso é um risco de segurança, pois pode-se utilizar um tipo de ataque chamado de script injection e cross-site scripting, de forma a roubar os valores dos cookies. Quando estes valores contiverem algo mais crítico, como código de autenticação, isso é grave.

Para evitar riscos de segurança o ASP.NET possui uma configuração para fazer com que os cookies possam ser lidos apenas pelo servidor e não por código javascript no browser.

Basta configurarmos o web.config, veja como fica:

<configuration>
<system.Web>
<httpCookies httpOnlyCookies="true">

HttpOnly é um atributo inserido nos cookies que são enviados para o browser. Este atributo foi criado a partir do IE 6.0