Является ли HTTPS единственной защитой от перехвата сеанса в открытой сети?

Итак, с Firesheep , у каждого в общедоступном Wi-Fi теперь есть один -click инструмент захвата сеанса.

Насколько я понимаю, это работает так: он просто захватывает весь трафик и захватывает cookie сеанса (чтобы не красть пароли).

Насколько я понимаю, это также означает, что защищенный вход HTTPS делает не решить эту проблему в одиночку, поскольку дальнейший HTTP-трафик снова будет включать файл cookie сеанса в виде открытого текста.

Привязка сеанса к определенному IP-адресу бесполезна благодаря NAT, а привязка его к пользовательскому агенту легко подделать.

] Так является ли 100% HTTPS всегда единственным способом предотвратить этот тип перехвата сеанса? Не могли бы люди просто обнюхать весь HTTPS-трафик, включая рукопожатие, или это безопасно? (Я думаю о повторных атаках, но ничего не знаю в этой области.)

Конечно, лучше не использовать общедоступные / открытые сети Wi-Fi, но я ' m по-прежнему интересуется, что разработчик веб-сайта может сделать для защиты своих пользователей.