security - 保护 Google 跟踪 cookie

Question

我在网站的某些页面上使用 Google Analytics(分析)。我的整个网站都使用 SSL。是否可以保护 Goole Analytics __umt* 的 cookie。

至少我想启用它们的安全标志。充其量我也想在它们上设置仅 HTTP 标志，但我认为后者不可能(因为我认为 Google 使用 JS 来使用 cookie)。

可以这样做吗？如果可以的话如何设置？

Answer 1

如果不修改 GA 脚本并存储您自己的本地副本，您将无法设置安全或 HttpOnly 标志。我想谷歌对此做出了有意识的设计决定，并且可以肯定的是，能够在安全和不安全的方案中跟踪同一用户会带来优势。

你必须问自己，你想通过这个实现什么目标；如果中间人由于缺乏安全标志而可以拦截并读取或操纵 cookie，那么潜在的漏洞是什么？与 HttpOnly 标志相同；如果攻击者可以通过 XSS 漏洞检索此 cookie，那么他们有什么好处？

我之前见过来自自动安全扫描仪的此类反馈，这些反馈只是由丢失的标志触发的，而没有了解 cookie 实际用途的上下文。这是我对为什么会出现这样的问题的第一个猜测。