HttpOnly e cookies seguros com mod_header Apache para todos os cookies

Question

HttpOnly e cookies seguros com mod_header Apache para todos os cookies

#1 resposta do (6 votos)

6

Estou usando o Apache 2.2.29 para um website. O apache funciona tanto para servir páginas do Drupal quanto como proxy reverso para um servidor de aplicativos interno. Por motivos de segurança, queremos adicionar os sinalizadores HttpOnly e proteger todos os cookies enviados aos clientes. Para fazer isso eu configurei as seguintes regras no apache

Header edit Set-Cookie "(?i)^((?:(?!;\s?HttpOnly).)+)$" "$1; HttpOnly"
Header edit Set-Cookie "(?i)^((?:(?!;\s?secure).)+)$" "$1; secure"

E isso funciona bem, para alguns cookies, mas outros não estão sendo modificados. Olhando para o cabeçalho da resposta, vejo o seguinte:

HTTP/1.1 200 OK
Date: Thu, 20 Nov 2014 22:50:01 GMT
Expires: Sun, 19 Nov 1978 05:00:00 GMT
Last-Modified: Thu, 20 Nov 2014 22:50:01 GMT
Cache-Control: store, no-cache, must-revalidate
Cache-Control: post-check=0, pre-check=0
Set-Cookie: SESSbfb02014bca2e49545c2cacd8a8cfcfa=perqn1l3mn2saselmabnn4vla7; expires=Sun, 14-Dec-2014 02:23:21 GMT; path=/; domain=.www6.server.com; HttpOnly; secure
Set-Cookie: textsize=100; expires=Fri, 20-Nov-2015 22:50:02 GMT; path=/; HttpOnly; secure
X-Cnection: close
Content-Type: text/html; charset=utf-8
Set-Cookie: TS01bd748d=015ca10fb56fc0a5579c6ad014a58a39be63cd86225d41d272c4e99ff818001921bf8a6afe8ff8786edc26a530281a2446ac250c26; Path=/
Set-Cookie: TS01ccb021=015ca10fb57273008302fba8649a42c6cd81f3c49f372d5d34fa4c31fc345f6be3c40dff1b5db114bd54174903e671f755744110dd; path=/; domain=.server.com
Set-Cookie: TS01bd748d_28=01d8892cb5da9e13891c7af98cab63f3bea0d8549b995c92d87d9b10240fcf906df41411935b1d5db889e1e5178debe05972be3916; Path=/
Content-Length: 39891

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">

Apenas os dois primeiros cookies estão sendo modificados para ter os sinalizadores. Os outros três não são. Eles parecem ser definidos mais tarde, ou pelo menos aparecem depois dos dois primeiros. Eu não sei porque isso faz a diferença, mas parece fazer. Alguma sugestão sobre como corrigi-los?

cookie apache-2.2

por Jose L Martinez-Avial 21.11.2014 / 00:00

1 resposta

Tags cookie apache-2.2

Como faço para calcular manualmente o meu pedido de cadeia de certificados? Como escalar um servidor da Web que suporte pesquisas longas

score 6 · Accepted Answer

Talvez o problema seja que a diretiva Header edit seja executada antes que seu aplicativo produza uma resposta, portanto, se o aplicativo estiver produzindo o cabeçalho que você deseja editar, esse cabeçalho ainda não existirá no momento em que a diretiva for executada.

Segundo a documentação:

Header [condition] set|append|merge|add|unset|echo|edit header [value] [replacement] [early|env=[!]variable]

The optional condition argument determines which internal table of responses headers this directive will operate against. Other components of the server may have stored their response headers in either the table that corresponds to onsuccess or the table that corresponds to always. "Always" in this context refers to whether headers you add will be sent during both a successful and unsucessful response, but if your action is a function of an existing header, you will have to read on for further complications.

The default value of onsuccess may need to be changed to always under the circumstances similar to those listed below. Note also that repeating this directive with both conditions makes sense in some scenarios because always is not a superset of onsuccess with respect to existing headers:

You're adding a header to a non-success (non-2xx) response, such as a redirect, in which case only the table corresponding to always is used in the ultimate response.

You're modifying or removing a header generated by a CGI script, in which case the CGI scripts are in the table corresponding to always
and not in the default table.

You're modifying or removing a header generated by some piece of the server but that header is not being found by the default onsuccess condition.

REF: link

Você pode corrigir isso usando Header always edit .

Eg.

Header always edit Set-Cookie "(?i)^((?:(?!;\s?HttpOnly).)+)$" "$1; HttpOnly"
Header always edit Set-Cookie "(?i)^((?:(?!;\s?secure).)+)$" "$1; secure"

Espero que isso ajude.