SSL和cookie如何工作？

Question

據我所知，我們使用SSL來加密敏感數據，如用戶名和密碼，以便在沒有人在網絡竊聽的情況下傳輸到服務器。那麼服務器通過HTTPS和它的存儲在cookie中返回一個安全的令牌。我們在擁有安全令牌後切換到HTTP，我們將cookie /安全令牌頭添加到每個HTTP請求。

現在任何人都可以看到我的安全令牌，他們可以竊聽並模仿我。我的理解是否正確？

Answer 1

Cookie可以根據協議設置，以便HTTPS cookie不用於HTTP，反之亦然。此外，正確構建的安全令牌應包含IP地址，並具有較短的到期時間。

但是總的來說，最好的想法當然是保持通過身份驗證的會話安全通道 - 現在SSL不是重量級的（因爲計算機變得比首次引入SSL時快得多）並且最重要的部分是握手，如果使用持久HTTP連接（或使用SSL會話恢復），則只執行一次。