Концептуальный принцип всех атак на куки — извлечь из них информацию и использовать в несанкционированных целях. Концептуальная защита — не передавать в них информацию, которую можно так использовать. Если решить задачу на концептуальном уровне, то техническая сторона отпадает сама собой.

Я в куках не передаю ничего, кроме идентификатора сессии, его можно спереть, но использовать только из-под того же адреса, которому выдан. Для параноиков можно придумать схему с симметричными ключами, которые отдаются сервером единственный раз за сессию в режиме https, что значительно снижает шанс перехвата, а далее в куках передавать что-то ими зашифрованное, типа подписи.

Ну или использовать https всегда.