安全なプロキシの背後にあるものはすべて安全ですか？

Question

HTTP State Management Mechanism Specを見て取った後具体4.1.2.5それが言及ここ

セキュア属性は、（ここで、「安全な」ユーザエージェントによって定義される） チャネルを「固定」するクッキーのスコープを制限します。 クッキーがセキュアな属性を持っている場合、ユーザーエージェントは、要求が セキュアなチャネルを介して送信されている場合にのみ、HTTPリクエストに クッキーが含まれます（通常はHTTPトランスポート層セキュリティ（TLS）

以上の私がいました私のセットアップにこれが正しく設定されているかどうか疑問に思っています。hapijsサーバーとnginxプロキシサーバーがありますが、nginxサーバーはHTTPS用に構成されています（https：// ...、私の質問は：これは必要ですか？ユーザーのブラウザと私のサーバーとの間の接続はTLSで保護されています。そして、すべての通信は電線を通じて何も送信せずに行われるので、私はそれは大丈夫だろうと思うでしょう。

私はここにいるかもしれないので、もしかしたら誰かが私を正しい方向に向けることができます。

Answer 1

クッキーの「安全な」属性は、クライアント（ウェブブラウザ）によって処理され、プロキシサーバ（少なくとも私が知っているもの）では処理されません。

ブラウザが接続するエンドポイントが安全である限り、問題はないはずです。

これは、エンドポイントと最終宛先（たとえば、同じマシンまたは内部ネットワーク）間のリンクのセキュリティに慣れていれば、エンドポイントでトラフィックを保護するだけの非常に一般的な設定です。

もちろん、社内のネットワークトラフィック（例えば従業員）が盗聴する可能性があるので、httpsはセキュリティ上の観点からは最適ですが、エンドポイントから最終的な宛先へのhttpを使用しても「安全な」クッキー私の経験から送られてきました。

最初のサーバー（たとえばCDN）として外部ネットワークを使用している場合は、httpsを安全なエンドポイントに使用することをおすすめしますが、停止することはありません。