¿Qué metodologías recomiendan las personas para mitigar el método 'Firesheep' para aplicaciones de sitios web?¿Cómo mitigar el ataque de "incendio" en la capa de aplicación?
Hemos pensado en esto y, desde una perspectiva de usabilidad, que no sea encriptar todo el tráfico a un sitio, mitigar el ataque puede ser un problema para los desarrolladores web.
Una sugerencia que se nos ocurrió fue utilizar cookies basadas en ruta, y encriptar el tráfico para una ruta específica en la que se realizan operaciones de cuenta o interacción personalizada. Sin embargo, esto complica la usabilidad, ya que el resto del sitio (el bit no encriptado no autenticado) no sabe quién sería el usuario.
¿Alguien tiene alguna otra sugerencia para mitigar este vector de ataque, manteniendo un nivel utilizable de usabilidad?
Dicho sea de paso, si uno de los moderadores desea agregar una etiqueta 'fireresheep' a esto, porque es bastante relevante. – pobk
Una x-ref para [Firesheep] (http://gizmodose.com/firesheep-firefox-plugin-allows-users-to-steal-passwords-hack-facebook-accounts.html). –
posible duplicado de [¿Es HTTPS la única defensa contra el secuestro de sesión en una red abierta?] (Http://stackoverflow.com/questions/4017344/is-https-the-only-defense-against-session-hijacking-in- an-open-network) – rook