[F5 BIG-IP] Criptografando Cookies

A criptografia de cookies é uma medida essencial para garantir a segurança e a privacidade dos usuários em aplicações web. Ao criptografar os cookies, protegemos informações sensíveis contra acessos não autorizados e ataques cibernéticos, como sequestro de sessão e falsificação de solicitações entre sites (CSRF).

O que são cookies e por que criptografá-los?

Cookies são pequenos arquivos de texto armazenados no navegador do usuário que contêm dados sobre sua interação com um site, como preferências de idioma, itens no carrinho de compras ou informações de autenticação. Embora sejam fundamentais para melhorar a experiência do usuário, os cookies podem representar riscos à segurança se não forem protegidos adequadamente.

A criptografia dos cookies garante que, mesmo que sejam interceptados, seus dados permaneçam inacessíveis a terceiros mal-intencionados.

Boas práticas para proteger cookies

1. Utilize HTTPS: Certifique-se de que sua aplicação utiliza o protocolo HTTPS, que criptografa a comunicação entre o navegador do usuário e o servidor.
2. Atributo Secure: Defina o atributo "Secure" nos cookies para garantir que sejam transmitidos apenas por conexões HTTPS.
3. Atributo HttpOnly: Configure o atributo "HttpOnly" para impedir que scripts do lado do cliente acessem os cookies, protegendo contra ataques XSS.
4. Atributo SameSite: Utilize "SameSite=Strict" para mitigar ataques de falsificação de solicitações entre sites (CSRF).
5. Criptografia dos dados do cookie: Use algoritmos robustos (como AES) para codificar os dados armazenados nos cookies.

Exemplo de Criptografia de Cookies no BIG-IP F5

O BIG-IP F5 permite criptografar cookies utilizando o iRules, garantindo que apenas o servidor possa ler os valores sensíveis armazenados nos cookies.

Criando uma iRule para Criptografia de Cookies

A iRule abaixo criptografa e descriptografa os cookies utilizando a funcionalidade AES::encrypt e AES::decrypt no BIG-IP.

when HTTP_REQUEST {
 # Definir chave de criptografia
 set key "MinhaChaveSecreta123"

 # Verificar se há um cookie na requisição
 if {[HTTP::cookie exists "session_id"]} {
 set encrypted_cookie [HTTP::cookie value "session_id"]
 
 # Descriptografar cookie antes de processar
 set decrypted_cookie [AES::decrypt $key $encrypted_cookie]
 
 log local0. "Cookie descriptografado: $decrypted_cookie"
 }
}

when HTTP_RESPONSE {
 # Definir chave de criptografia
 set key "MinhaChaveSecreta123"
 
 # Criar valor do cookie
 set session_value "usuario123|timestamp=[clock seconds]"

 # Criptografar o valor do cookie
 set encrypted_value [AES::encrypt $key $session_value]

 # Configurar o cookie na resposta
 HTTP::cookie insert name "session_id" value $encrypted_value path "/" httponly secure
}

Explicação do código:

• HTTP_REQUEST:
  • Verifica se o cookie "session_id" existe.
  • Se existir, descriptografa e armazena o valor para uso posterior.
• HTTP_RESPONSE:
  • Cria um valor para o cookie de sessão.
  • Criptografa o valor usando AES.
  • Define o cookie com as propriedades HttpOnly e Secure.

Esse método garante que os cookies estejam protegidos, reduzindo a possibilidade de ataques cibernéticos.

Exemplo de Criptografia de Cookies em PHP

Aqui está um exemplo de como criptografar e descriptografar cookies em uma aplicação PHP utilizando OpenSSL:

<?php
// Função para criptografar dados
function encryptCookie($data, $key) {
    $iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length('aes-256-cbc'));
    $encrypted = openssl_encrypt($data, 'aes-256-cbc', $key, 0, $iv);
    return base64_encode($encrypted . '::' . $iv);
}

// Função para descriptografar dados
function decryptCookie($data, $key) {
    list($encrypted_data, $iv) = explode('::', base64_decode($data), 2);
    return openssl_decrypt($encrypted_data, 'aes-256-cbc', $key, 0, $iv);
}

// Defina uma chave de criptografia segura
$encryption_key = 'sua_chave_secreta';

// Criptografar e definir o cookie
$cookie_value = encryptCookie('valor_do_cookie', $encryption_key);
setcookie('nome_do_cookie', $cookie_value, time() + (86400 * 30), '/', '', true, true);

// Descriptografar o cookie
if(isset($_COOKIE['nome_do_cookie'])) {
    $cookie_value = decryptCookie($_COOKIE['nome_do_cookie'], $encryption_key);
    // Utilize o valor do cookie conforme necessário
}
?>

Conclusão

A criptografia de cookies é uma prática essencial para proteger os dados dos usuários e garantir a integridade de sua aplicação web. Com a implementação correta, tanto em aplicações tradicionais quanto utilizando soluções como o F5 BIG-IP, é possível reduzir significativamente os riscos de segurança associados ao uso de cookies, proporcionando uma experiência mais segura para seus usuários.

Referências:
https://community.f5.com/kb/codeshare/encrypting-cookies/277761