Door Anoniem: Door Erik van Straten: Bovendien verschijnen iframes niet "spontaan" op een website, daar moet wat aan vooraf gegaan zijn waardoor mogelijkerwijs ook session-cookies gestolen kunnen worden. Nou volgens mij kunnen de meeste advertentie hosting omgevingen zoals die alom populair zijn voor gebruik op websites gewoon een iframe als advertentie plaatsen hoor... Waarom liet je dat laatste deel van mijn zin weg? Ja, naast de website waar je op inlogt (en ingelogd blijft) zul je OOK alle sites van derde partijen (maar ook van vierde partijen etcetera), waarvan de eigenaar van die eerste site wil dat jouw browser daar content van ophaalt, moeten vertrouwen (het gebruiken van een adblocker en vooral NoScript kan hierbij helpen - maar zeker is dat niet). Juist session cookies (1FA) maken je kwetsbaar, ONGEACHT hoe je inlogt; zelfs client-CBA (Certificate Based Authentication), PassKeys of FIDO2 hardware keys (in WebAuthn mode) helpen niet als de andere kanten niet te vertrouwen zijn. Tenzij je een ...