¿La información de las cookies es hackeable por el ataque "Man in middle" por medio de HTTPS?

Depende.

Digamos que tenemos un servidor que solo proporciona un servicio HTTPS y usa HTTP solo para redirigir a HTTPS. El navegador del usuario se autentica mediante una cookie de sesión sin el marca de seguridad . En algún momento, este navegador cargará HTML a través de HTTP simple al visitar algún otro dominio ( enlace !), Y luego un hombre en el Medio, Eve, puede golpear. En la respuesta HTTP, Eve puede inyectar una etiqueta de imagen que obliga al navegador a realizar una solicitud HTTP al servidor víctima:

...
<img src=http://victim_server/favicon.ico></img>
...

A pesar de que, victim_server no usa HTTP, el navegador realizará una solicitud HTTP de texto sin formato que puede ser interceptada por Eve.

Entonces, para responder a la pregunta. La información de la cookie se puede proteger en un ataque MITM si se establece el marca de cookie segura y la aplicación no tiene Otras vulnerabilidades como XSS. También está el ataque BEAST y SSLStrip .

TLS / SSL cifra toda la conexión, que también incluye la solicitud y la respuesta con todos los encabezados HTTP y la carga útil. Según nuestro conocimiento, no es posible extraer la información del encabezado IFF si la conexión está bien protegida. "Asegurar adecuadamente" es un término vago. Muchas cosas pueden ir mal con TLS / SSL, y surge un nuevo ataque. Por ejemplo, ataques recientes sobre problemas de abuso de HTTPS en el protocolo o cifrados no seguros. Es posible que hayas oído hablar de BEAST, Lucky 13 Timing Attault o RC4 vulnerabilidades.

Un amigo mío ha escrito un artículo sobre cómo fortalecer un servidor contra los ataques. Las autoridades de certificación suelen tener pruebas y HowTos, también. Es vital entender que debe mantener y actualizar su software constantemente. De lo contrario, los malos ganarán eventualmente.