¿Tiene sentido una cookie de sesión única?

Hace unos años, había un artículo llamado "Cookies de una sola vez: Prevención de ataques de secuestro de sesión con tokens de autenticación sin estado", pero esa implementación usaba encabezados de extensión HTTP X-OTC y tenía muchos criptográficos bajo el capó. Sin embargo, lo que estás viendo suena como algo diferente.

enlace

No evitará el robo, pero cambiar la cookie significa que si una cookie es robada, el usuario se da cuenta rápidamente y puede iniciar sesión nuevamente (lo que probablemente invalidará su otra sesión).

Si no puedes evitar que ocurra algo, lo mejor que puedes hacer es aumentar la capacidad de detectarlo rápidamente. No servirá de nada si la cookie es robada cuando el usuario termina su sesión, pero es mejor que nada.

Sí, tiene sentido. La idea de las cookies de una sola vez es evitar ataques como el secuestro de sesiones.

Por ejemplo, este documento (@ bgt421 señaló este documento en otra respuesta) implementa cookies de una sola vez firmando cada solicitud de usuario con un secreto de sesión almacenado de forma segura en el navegador.

De hecho, el documento anterior defiende que sus cookies OTC no son vulnerables a una serie de amenazas:

Parece que el principal problema de estos mecanismos es que requieren muchos recursos para mantener la sincronización de estado en la aplicación web.