用Firesheep劫持Facebook;什么是最好的预防措施,它是如何工作的?

问题是,如果您没有SSL/TLS,那么cookies和send-in-clear将在网络上出现。

任何收听TCP/IP通信的人都可以读取未加密的数据,也可以读取cookies。

当你拥有它们的时候,你可以把它复制到你自己的电脑上,它就会工作…

您需要SSL/TLS!

当您以开放(未加密)方式传输数据时,无法保护您的信息,尤其是不使用cookie(一种众所周知且广泛使用的存储不敏感用户信息的协议)。你可以尝试一些技巧和黑客来断言,只有向其发出cookie的人才能使用它,但这不是cookie的设计目的。cookies不是安全功能!

如果你想要隐私,使用加密。就这么简单。SSL证书很便宜(每年低至10美元)。如果需要安全和隐私,那么就没有理由不使用SSL。

对于您自己的站点,您可以设计更安全的cookie: http://jaspan.com/improved_persistent_login_cookie_best_practice

但由于Facebook还没有做到这一点,所以它是使用SSL的唯一选择。