Sommige cookies hebben een eeuwige levensduur, wat handig voor advertentiebedrijven is, maar een serieus beveiligingsrisico kan vormen. Dat zegt Robert 'Rsnake' Hansen. "Ik vind het concept van persistente cookies verschrikkelijk. Als ik wil dat iets zou blijven, zou ik geen sandboxes gebruiken en op agressieve wijze mijn cookies handmatig verwijderen."

Hansen beschrijft een scenario waarbij gebruikers op een pornosite zitten die de browser dwingt om MySpace en Facebook te bezoeken. "Omdat je waarschijnlijk bent ingelogd, word je via CSRF, clickjacking of wat dan ook gecompromitteerd." De tweede mogelijke aanval is als de aanvaller weet dat de gebruiker is ingelogd. In dit geval vallen ze de gebruiker aan via het platform waarvan de aanvaller de inloggegevens wil hebben.

Mechanisme
De tweede aanval is lastig te voorkomen merkt Hansen op, maar de eerste aanval is voornamelijk toe te schrijven aan de levensduur van cookies. "Waarom moet een browser een cookie bewaren alleen omdat een website het dit vertelt?"

De onderzoeker erkent dat sommige gebruikers niet elke dag hun webmail wachtwoord willen invoeren, maar dat dit voor security-bewuste gebruikers anders is. "We moeten dus een standaard mechanisme overwegen voor de timing van cookies als ze niet actief naar een server worden gestuurd, ongeacht wat de server wil."