Scriptorama.nl

Via deze blogpost van Ilia komen we te weten dat PHP 5.2 een nieuwe feature krijgt. Om in de toekomst cross-site scripting (XSS) aanvallen te verminderen is de httpOnly flag in het leven geroepen. Dit betekent dat cookies niet zomaar via scripttalen als Javascript uitgelezen kunnen worden.

De httpOnly feature blijkt een uitvinding te zijn van Microsoft, zoals hier te lezen valt. De browser moet wel deze feature ondersteunen. Via deze post komen te weten welke browsers het ondersteunen:

• IE 6.0 SP1 and later - prevents reading, but not over-writing (still allows preset CSRF attacks)
• IE 7.0 - prevents reading and writing - safest
• Safari 1.3 and later - prevents reading
• Opera 8 and later - prevents reading
• Mozilla - not supported
• Firefox - not supported
• IE 5.x for Mac - will actually fail to render the page. Use browser detection to encourage them to migrate to Safari or Firefox once it supports HttpOnly

Wat onmiddelijk opvalt is dat Firefox hiervoor geen ondersteuning heeft. Daar moet natuurlijk verandering in komen!