¿Las implicaciones de seguridad de proporcionar subdominios a los usuarios en mi dominio?

Sí, podrían envenenar las cookies en su dominio para ejecutar, digamos un ataque de Fijación de sesión .

por ejemplo

1. El atacante visita su sitio web principal www.example.com y obtiene un ID de sesión.
2. El atacante agrega algo de JavaScript a su página en attacker.example.com para configurar la cookie de sesión en .example.com para que sea igual que el ID de sesión.
3. Atraen a sus víctimas a visitar attacker.example.com enviándoles un enlace.
4. La víctima visita el sitio y tiene la cookie de sesión establecida en .example.com level.
5. La víctima más tarde visita www.example.com e inicia sesión. Debido a que hay una cookie de sesión establecida en el nivel .example.com , www.example.com usa esta cookie para el ID de sesión.
6. Cuando el atacante está compartiendo esa sesión, también está conectada.

Si esto es posible en su dominio o no, depende de la funcionalidad. Si no es este ataque exacto, otros pueden ser posibles. La fijación de la sesión se puede mitigar actualizando el ID de sesión al iniciar y cerrar sesión.

Hay varios mecanismos del lado del navegador, que funcionan en todo el dominio y, por lo tanto, pueden verse afectados por esta idea, al menos:

• Complemento de Firefox NoScript: los permisos para ejecutar secuencias de comandos individuales abarcan todo el dominio, por lo que la habilitación de secuencias de comandos para un usuario resultará en la habilitación de secuencias de comandos para todos los usuarios
• visibilidad de cookies
• Permisos de acceso flash
• permisos de acceso a Java
• permisos de acceso a JavaScript

Es una mejor idea usar 2 dominios, por ejemplo:

• su-dominio.com: para el sitio de la compañía y servicios confiables
• * .your-domain.net: para usuarios no confiables