Aplicar la marca HttpOnly en las cookies de autenticación
A partir de la versión 13.1-37.x de NetScaler Gateway y posteriores, la marca HttpOnly está disponible en las cookies de autenticación de los escenarios VPN, es decir, las cookies NSC_AAAC y NSC_TMAS. La cookie de autenticación NSC_TMAS se utiliza durante la autenticación nFactor y la cookie NSC_AAAC se utiliza para la sesión autenticada. La marca HttpOnly en una cookie restringe el acceso a la cookie mediante la opción de cookie de documento de JavaScript. Esto ayuda a prevenir el robo de cookies debido a la secuencia de comandos entre sitios.
A partir de Citrix Secure Access para Windows 24.8.1.x y NetScaler Gateway 14.1-34.x, la página de inicio del cliente Citrix Secure Access se inicia correctamente con la cookie HttpOnly habilitada en NetScaler Gateway. En las versiones anteriores, cuando la función HttpOnly estaba habilitada, el enlace Página de inicio en la interfaz de usuario del cliente Citrix Secure Access no funcionaba.
Escenario admitido
La marca HTTPOnly es compatible con la autenticación nFactor.
Comportamiento cuando el parámetro HttpOnlyCookie de NetScaler AAA se utiliza junto con el parámetro HttpOnlyCookie de la sesión de Traffic Management (TM):
-
Cuando el parámetro httpOnlyCookie está habilitado para la autenticación, autorización y auditoría, anula el parámetro HttpOnlyCookie de la sesión de administración de tráfico durante la autenticación nFactor. Además, tanto NSC_TMAS como NSC_AAAC se marcan como HttpOnly independientemente del tipo de sesión. Esto se aplica tanto si es una sesión VPN, una sesión TM o una autenticación nFactor.
-
Si el parámetro HttpOnlyCookie está deshabilitado, la marca HttpOnly no se establece para una sesión VPN. Para el escenario de autenticación, autorización y auditoría, la marca HttpOnly se establece en función del valor del parámetro de sesión TM.
Configurar la función HttpOnly mediante la CLI
-
Habilitar la marca HttpOnly.
set aaa parameter -httpOnlyCookie ENABLEDNota:-
De forma predeterminada, la marca HttpOnly está habilitada en las siguientes compilaciones de NetScaler Gateway:
-
14.1-43.56 y posteriores
-
13.1-59.19 y posteriores
-
-
Para deshabilitar la marca HttpOnly, ejecute el siguiente comando:
set aaa parameter -httpOnlyCookie DISABLED
-
-
Compruebe el estado de la característica HttpOnly.
show aaa parameter
Limitaciones
-
El indicador HttpOnly no se establece en ninguna autenticación clásica.