Предотвращение перехвата сеанса при использовании простого HTTP без шифрования

Question

Из того, что я понимаю, если пользователь использует обычный HTTP без уровня шифрования TLS, тогда любой, кто слушает "по проводам", может увидеть сеанс приготовления ie и украсть его. Значит ли это, что невозможно предотвратить перехват сеанса, если веб-сайт не реализует HTTP поверх TLS? Означает ли это, что все сайты до https не могли защититься от перехвата сеанса?

Сценарий может выглядеть следующим образом.

1. Хороший парень заходит в свой аккаунт

GET / HTTP/1.1
Host: onlinecommunity.com
Cookie: PHPSESSID=f5avra_=AKMEHO_ga=GA1.2.93f54422f2ac010

2. Плохой парень, слушающий «по проводам», видит простой HTTP-запрос

3. Плохой парень отправляет тот же запрос

GET / HTTP/1.1
Host: onlinecommunity.com
Cookie: PHPSESSID=f5avra_=AKMEHO_ga=GA1.2.93f54422f2ac010

4. Теперь плохой парень видит профиль хорошего парня!

Как люди предотвращали угон SESSION до HTTPS?

Answer 1

Я думаю, что нашел ответ (частично) на свой вопрос, поэтому я поделюсь им здесь с другими.

1. Если на сайте не используется шифрование, вы можете использовать VPN для шифрования запросов, таким образом, сеансовый повар ie будет скрыт (зашифрован)
2. . С каждым запросом вы можете заново создать сеансовый повар ie. Хотя из того, что я прочитал, это может быть трудно реализовать.
3. Вы можете сравнить другие поля заголовка и сравнить их с последним запросом. Если они слишком разные, вы можете заблокировать доступ.
4. Вы можете проверить по IP-адресу. Но так как человек может быть в мобильной сети, IP-адрес может измениться по законным причинам, поэтому вы можете по крайней мере проверить диапазон IP-адресов, чтобы убедиться, что он поступает из той же страны, что и последний запрос.

В целом, если веб-сайт использует обычный текст HTTP без шифрования, вы также можете украсть их имя пользователя и пароль, прослушивая по проводам. Таким образом, вы должны по крайней мере использовать VPN (VPN шифруют все данные). Я предполагаю - никогда не используйте HTTP-запросы в виде простого текста для любой конфиденциальной информации.

Не стесняйтесь добавлять или исправлять меня.