Sicherheit von Webanwendungen · Senior · Frage 30 von 75
Tokens nur im Speicher einer SPA vs. HttpOnly-Cookies: was ist der zentrale Kompromiss?
- 1Speicher ist immer sicher, Cookies sind in jedem Setup unsicher
- 2Speicher vermeidet CSRF, aber nicht XSS; Cookies verbergen Tokens, brauchen aber CSRF-Abwehr
- 3Für einen Angreifer gibt es zwischen beiden keinen praktischen Unterschied
Antwort zeigen
Richtige Antwort: Speicher vermeidet CSRF, aber nicht XSS; Cookies verbergen Tokens, brauchen aber CSRF-Abwehr
Erklärung
Keine Option übersteht XSS ganz: der Angreifer kann in der Seite so oder so handeln. Der eigentliche Unterschied ist, ob sich ein Token mitnehmen und anderswo nutzen lässt.