HTTP Cookie (Web Cookie, Browser Cookie) là một phần dữ liệu nhỏ được gửi từ máy chủ và được trình duyệt của người dùng lưu trữ để ghi nhớ thông tin trạng thái hoặc ghi lại hoạt động duyệt web của người dùng. Trong môi trường web hiện đại, Cookie HTTP hiệu quả xử lý các yêu cầu và phản hồi  HTTP bằng cách cung cấp nhiều chức năng khác nhau. Trong nhiều trường hợp, Cookie chứa thông tin người dùng riêng tư và duy nhất (ví dụ: mã thông báo xác thực). Thông thường, Bảo mật truyền tải nghiêm ngặt HTTP (HTTP Strict Transport Security  - HSTS) và cờ Cookie là những phương pháp nổi tiếng nhất cho mục đích bảo vệ đầy đủ thông tin trong Cookie.

- Bảo mật truyền tải nghiêm ngặt HTTP (HSTS) là một chính sách để hầu hết thực thi việc sử dụng TLS trong các trình duyệt Web (tác nhân). Nó cho phép triển khai hiệu quả TLS bằng cách đảm bảo rằng tất cả các giao tiếp đều được thực hiện qua kênh an toàn. Một tác động tích cực khác là giảm thiểu các cuộc tấn công Man-In-The-Middle (MITM), nơi TLS có thể bị loại bỏ khỏi giao tiếp và khiến trình duyệt gặp rủi ro.

- Cờ Cookie (Flag) là một cơ chế bảo mật bảo vệ dữ liệu trong Cookie. Máy chủ có thể xác định các thuộc tính đặc biệt cho Cookie bằng cách thêm các cờ trong tùy chọn tiêu đề Set-Cookie khi phân phối Cookie đến trình duyệt. Có hai loại cờ Cookie được thêm vào tiêu đề Set-Cookie: HttpOnly và Secure. Cờ HttpOnly đảm bảo rằng không thể truy cập Cookie bởi các API phía máy khách như JavaScript. Hạn chế này giúp loại bỏ nguy cơ đánh cắp Cookie thông qua Cross-Site Scripting (XSS). Cookie có cờ Secure chỉ có thể được truyền qua kết nối được mã hóa như TLS khi máy khách gửi nó đến máy chủ sau đó. Nó bảo vệ Cookie khỏi bị đánh cắp Cookie thông qua việc nghe trộm qua HTTP. Nếu cờ Secure không được đặt đúng cách trong tiêu đề Set-Cookie, kẻ tấn công MITM được cải trang thành một máy chủ HTTP hợp pháp có thể lấy Cookie riêng thông qua HTTP.

Tài liệu tham khảo

1. H. Kwon, H. Nam, S. Lee, C. Hahn and J. Hur, "(In-)Security of Cookies in HTTPS: Cookie Theft by Removing Cookie Flags," in IEEE Transactions on Information Forensics and Security, vol. 15, pp. 1204-1215, 2020, doi: 10.1109/TIFS.2019.2938416.