Fonctionnement de l'authentification sécurisée dans une application Web

Question

Je comprends le fonctionnement de ssl, de sorte que le navigateur envoie le nom d'utilisateur/mot de passe chiffré. Mais que se passe-t-il ensuite?

Le client reçoit-il un cookie? Est-ce sécurisé? Comment le serveur-navigateur communique-t-il en toute sécurité si la seule page https est la page de connexion?

Je pense que si quelqu'un obtenir une copie de ce cookie quand il est envoyé, ils peuvent acces ce compte, peu importe la façon dont cryptée est le cookie

En fait, je veux comprendre le processus de connexion dconnecter dans un endroit sûr application Web.

serveur: Tomcat, Apache ... Plate-forme: java, php, ...

Merci

Answer 1

Episode 195 de la sécurité maintenant traite podcast avec ce sujet en profondeur. http://www.grc.com/securitynow.htm Vous pouvez soit scanner la transcription (que je recommanderais de faire d'abord afin de savoir, si elle répond à vos questions) ou écouter tout l'épisode.

Answer 2

Si quelqu'un d'autre voyage: Sur ce que je trouve cet article sur Wikipédia Session Fixation et ce SO Question très utile pour répondre à cette question, que le podcast 90+ minutes de la RRB (ci-dessus) qui est principalement lié à SSL/TLS.