Puis-je simplement me déconnecter en effaçant les cookies au lieu de fermer la session?

Souvent oui, pour les raisons que vous avez fournies dans votre question: sans le jeton de session dans vos cookies, une application Web typique ne saura pas qui vous êtes.

Quels sont les problèmes liés au simple effacement des cookies par rapport au clic sur le bouton de déconnexion?

Applications Web qui gérer l'authentification en suivant les directives de gestion de session OWASP invalidera la session côté serveur lorsque vous vous déconnecterez explicitement. Si vous supprimez simplement le cookie avec le jeton de session, la session peut être sujette à un détournement de session.

Utilisation des verrous de porte comme analogie pour ceux qui ne sont pas familiarisés avec les meilleures pratiques de développement d'applications Web (grâce à la discussion dans les commentaires):

Votre compte peut être vu comme une pièce dans un bâtiment. Lorsque vous vous connectez, le propriétaire du bâtiment crée une porte et y met un verrou automatique, de sorte que vous seul pouvez entrer. Votre jeton de session est votre clé, et est généralement stocké dans les cookies de votre navigateur, mais peut être stocké dans d'autres endroits.

Supprimer votre jeton en supprimant vos cookies, en vidant le cache, etc., c'est simplement détruire votre copie de la clé.

Déconnexion explicite, c'est demander au propriétaire du bâtiment de maçonner la porte. Rien ne garantit qu'ils sécuriseront votre compte, mais en tant qu'utilisateur, vous faites explicitement connaître vos souhaits.

Un attaquant peut obtenir une copie de votre clé de différentes manières, appelée session détournement, qui est de la responsabilité du propriétaire du site d'atténuer, pas les utilisateurs.

Tout d'abord, l'attaquant peut juste deviner. Si le site génère des clés de session de manière séquentielle ou utilise une méthode de génération pseudo-aléatoire à faible entropie, cela rend les devinettes beaucoup plus faciles. Les sites atténuent cela en utilisant des jetons d'entropie élevée et un recyclage de session périodique. Les sessions de recyclage n'empêchent pas l'accès, mais cela rend évident lorsqu'un accès non autorisé a été accordé.

Deuxièmement, l'attaquant peut utiliser la fixation de session: il vous donne une clé avant de vous connecter, que vous continuez à utiliser après vous être connecté. Les sites atténuent ce problème en recyclant explicitement la session lorsque vous vous connectez.

Troisièmement, une attaque de type Man-in-the-Middle. L'attaquant peut voir votre clé directement. TLS atténue cela. Il est possible de décrypter le trafic TLS via des attaques de rétrogradation, des implémentations non sécurisées et des attaques zero-day, mais celles-ci sont loin du domaine de l'utilisateur, les attaques rares et zero-day contre TLS ont tendance à générer BEAUCOUP de bruit lorsqu'elles sont découvertes (Heartbleed, et al).

En tant qu'utilisateur, vos responsabilités sont de vous déconnecter et de tenir le site responsable lorsqu'ils prennent des raccourcis avec sécurité, tout comme votre responsabilité avec votre voiture dans un parking public est pour verrouiller vos portes. Si les verrous de porte sont contournés de manière triviale, c'est la faute du fabricant, pas la vôtre.

Certains sites Web utilisent des méthodes non basées sur les cookies pour stocker des données sur l'ordinateur d'un utilisateur, telles que le stockage local HTML5 et le cache du lecteur Flash qui peuvent contenir des informations sensibles.

Par exemple, votre client de messagerie peut stocker votre brouillon d'e-mail dans le stockage local de sorte que si vous actualisez accidentellement la page / fermez le navigateur, vous pourrez reprendre là où vous vous êtes arrêté. Ces données sensibles seront normalement supprimées lorsque vous cliquez sur le bouton de déconnexion sur un site Web bien conçu et ne seront pas supprimées simplement en supprimant vos cookies.

Puis-je simplement me déconnecter en effaçant les cookies au lieu de fermer la session?

Oui, puisque l'application Web utilise des cookies pour vous identifier de manière unique, la suppression des cookies vous déconnectera.

Quels sont les problèmes liés à l'effacement des cookies et au clic sur le bouton de déconnexion?

Le bouton de déconnexion a un but particulier en ce qu'il envoie une demande de suppression la session et renvoie également une réponse pour supprimer le cookie dans votre navigateur. Si vous n'envoyez pas de demande de suppression de la session, la session reste active côté serveur. Les sessions ont une durée de vie maximale et seront éventuellement supprimées par le ramasse-miettes.

Il n'y a aucun risque.

Quelqu'un a signalé que cela pourrait augmenter le risque de piratage de session. Mais ce n'est pas vrai. Si l'application a une session (est avec état), cette session a un délai d'expiration. Et après l'expiration de la session, il n'y a rien à détourner. Si la session est active, alors les chances de détourner une session d'un utilisateur actif sont presque les mêmes que pour une session "orpheline". En tenant compte des outils qui détectent rapidement plusieurs requêtes avec des identifiants de session non valides de quelqu'un qui tente de forcer l'identifiant de session, il n'y a pas de risque supplémentaire côté serveur .

Du côté client , il peut y avoir plus de risques en cas de déconnexion qu'en cas de suppression des cookies. La déconnexion invalide la session, mais peut conserver d'autres données sensibles. Par exemple, lorsque vous vous déconnectez de Google Mail, votre nom d'utilisateur est toujours conservé dans les cookies; et lorsque vous accédez à Google Mail, vous verrez votre nom d'utilisateur prérempli. Premièrement, vous ne voulez peut-être pas que quelqu'un derrière votre épaule voie cet identifiant d'utilisateur. Deuxièmement, si vous êtes pressé, vous pouvez vous connecter à un mauvais compte (de vos multiples comptes). Des problèmes similaires peuvent survenir dans d'autres applications. Où, comme lorsque vous supprimez les cookies, vous êtes sûr qu'il n'y a rien de conservé dans votre navigateur dont vous n'êtes pas au courant; vous ne serez pas surpris par les données stockées dans les cookies. Ainsi, en cas de déconnexion, le risque de surprises négatives est plus élevé qu'en cas de suppression des cookies. Je dois dire que lorsque l'on supprime des cookies, il faut également envisager de supprimer le stockage local.

Un seul inconvénient que je vois en cas de suppression des cookies est que le serveur utilisera un peu plus de ressources pour conserver les données de session jusqu'à l'expiration de la session. Mais la question dans OP concerne les risques pour le client. Il n'y a donc aucun risque. Et de nos jours, la plupart des applications n'ont aucun état sur le serveur; se déconnecter signifie dans ce cas simplement invalider le jeton; il n'y a souvent aucune ressource bloquée par session. Ainsi, même une session "orpheline" ne prend pas de ressources supplémentaires.

Un autre aspect à considérer: selon l'application et la connexion Internet, la déconnexion peut prendre un temps considérable, quelques secondes. Où la suppression des cookies (et du stockage local) se produit immédiatement et ne dépend pas du serveur et de la connexion Internet.

Peut-être que quelqu'un trouvera d'autres points importants que j'ai négligés et critiquera mon point de vue. C'est très bien. Je voulais simplement encourager les utilisateurs à ne suivre aucune règle aveuglément, mais à réfléchir à ce qui se passe réellement.