Возможен ли перехват куки по https?

Конешно есть уязвимость, у Гугла только так куки воруют :(

Какая? Почему ее не исправят?

https_OVERBLACK_669 погугли, очень серьёзная уязвимость

По запросу https_OVERBLACK_669 ничего не найдено.

блин!

куки передаются ведь после установки защищенного соединения?

Да.

Выходит куки передаются ДО или есть какая-то уязвимость в протоколе?

Нет, они передаются после. Но если подсунуть жертве ссылку на http вместо https, то браузер передаст cookie по открытому каналу, где их можно перехватить. Для борьбы с этим в Set-Cookie можно добавлять флаг «secure». Этот флаг советует браузеру передавать эту cookie только по защищённому каналу.

Через час-два по запросу «https_OVERBLACK_669» будет найдена эта тема.

Все так просто. Спасибо.

Советую прочитать RFC документы, относящиеся к HTTP. Многие вопросы отпадут.

mission complete!

Через час-два по запросу «https_OVERBLACK_669» будет найдена эта тема.

И она — единственная находимая у Гугла и Бинга. :) Другие поискивики (Янедекс, Дак-дак-го) ищут более вольно.

да, возможно, как минимум теоретически, но реально из-за лени, невнимательности, несовершенства все еще при определенном усердии может быть проще в практическом смысле...