¿Cuáles son las implicaciones de seguridad de permitir cookies de tamaño ilimitado?

Parece probable que la restricción tenga más que ver con rechazar algo que probablemente sea malicioso que una amenaza específica, sin embargo, hay algunos riesgos potenciales que podría pensar con cookies grandes.

• Denegación de servicio. Suponiendo que la aplicación procesa las cookies, entonces un valor de cookie muy grande podría hacer que la aplicación realice un procesamiento excesivo, lo que lleva a una aplicación. DoS
• Intente explotar una condición excedida. Si la aplicación tenía algún tipo de condición de saturación del búfer en el código de manejo de cookies, entonces una cookie grande podría desencadenar eso.

Todo lo que dice la respuesta corta es que depende de la aplicación detrás del WAF, y asumiendo que no tiene fallas en el código de manejo de coookie, no veo ninguna razón en particular para establecer un límite estricto de 1024 caracteres para un valor de cookie.

Un riesgo con las cookies grandes es que se pueden usar para montar ataques de desbordamiento de cookie jar. Algunos navegadores tienen límites fijos en la cantidad de datos que almacenarán en el contenedor de cookies. Por lo tanto, si un atacante le dice a su navegador que recuerde una cookie grande, esto puede hacer que otras cookies se olviden o eliminen del contenedor de cookies. Eso a su vez puede permitir algunos ataques.

Más detalles:

• Extracto del Manual de seguridad del navegador :

    

  "Problemas con el tamaño de la jarra de galletas: los estándares hacen relativamente poco para   Especifique límites de conteo de cookies o estrategias de poda. Varios navegadores   puede implementar varios límites totales y por dominio, y el comportamiento puede   dar como resultado contenido malicioso que interrumpa la sesión a propósito   gestión, o contenido legítimo que lo haga por accidente ".

• Compitiendo para degradar a los usuarios a autenticación sin cookies / a>: describe cómo un sitio malintencionado puede escribir suficientes cookies en el contenedor de cookies del navegador para llegar al límite, lo que hace que otros sitios no funcionen como cookies (lo que puede ser menos seguro).

• cookies HTTP, o cómo no diseñar Protocolos : describe los ataques y las debilidades que surgen como resultado de cómo los navegadores podan el contenedor de cookies cuando reciben demasiados datos de cookies. Consulte especialmente las secciones tituladas "8K debería ser suficiente para cualquiera" y "Oh, por favor. Nadie va a depender realmente de ellos".

Esto es probablemente para evitar un la vulnerabilidad de la cookie HTTPOnly que afectó a Apache .