Çfarë është fiksimi i sesionit?

Ka shumë lloje të ndryshme të dobësive të sigurisë që gjenden në faqet e internetit, njëra interesante quhet "Fiksimi i sesionit". Fiksimi i sesionit është një problem ku një sulmues mund të ndikojë në identifikuesin e sesionit të njohur si ID-në e sesionit të një përdoruesi dhe më pas ta përdorë atë për të fituar akses në llogarinë e tij. Ka dy mënyra se si mund të funksionojë ky lloj cenueshmërie, ai mund t'i lejojë sulmuesit të gjejë ose të vendosë ID-në e sesionit të një përdoruesi tjetër.

Si kryhet një sulm i fiksimit të sesionit

ID-ja e sesionit të një përdoruesi është shpesh një pjesë kyçe e vërtetimit të faqes në internet dhe në shumë raste është e vetmja e dhënë që identifikon përdoruesin specifik të identifikuar. Problemi me këtë është se nëse një sulmues mund të vendosë ose të mësojë ID-në e sesionit të një tjetri përdoruesi, ata mund të përdorin tokenin e sesionit dhe më pas të jenë në gjendje të veprojnë si përdorues.

Në mënyrë tipike, kjo bëhet duke mashtruar një përdorues për të klikuar një lloj lidhjeje phishing. Vetë lidhja është plotësisht legjitime, por përfshin një variabël që përcakton një ID të caktuar të sesionit. Nëse përdoruesi më pas identifikohet me ID-në e sesionit dhe serveri nuk i cakton atij një ID të re të sesionit gjatë identifikimit, sulmuesi thjesht mund të vendosë ID-në e sesionit të tij të jetë i njëjtë dhe të ketë akses në llogarinë e viktimës.

Një mënyrë tjetër sesi sulmuesi mund të zbulojë ID-në e sesionit të viktimës është nëse ai shfaqet në një URL. Për shembull, nëse sulmuesi mund ta mashtrojë viktimën që t'i dërgojë një lidhje dhe ajo përfshin ID-në e sesionit të viktimës, sulmuesi mund të përdorë ID-në e seancës për të hyrë në llogarinë e viktimës. Në disa raste, kjo mund të ndodhë krejtësisht rastësisht. Për shembull, nëse përdoruesi kopjon URL-në me ID-në e sesionit dhe ia ngjit atë një miku ose në një forum, çdo përdorues që ndjek lidhjen do të identifikohet me llogarinë e përdoruesit.

Korrigjimet e fiksimit të seancës

Ka disa zgjidhje për këtë çështje, dhe si gjithmonë, zgjidhja më e mirë është zbatimi i sa më shumë rregullimeve të jetë e mundur si pjesë e një strategjie të thelluar të mbrojtjes. Zgjidhja e parë është ndryshimi i ID-së së sesionit të përdoruesit kur ata të identifikohen. Kjo parandalon që një sulmues të jetë në gjendje të ndikojë ndonjëherë në ID-në e sesionit të një përdoruesi të identifikuar. Ju gjithashtu mund të konfiguroni serverin që të pranojë vetëm ID-të e sesioneve që ai ka krijuar dhe të refuzojë në mënyrë eksplicite çdo ID të sesionit të ofruar nga përdoruesi.

Faqja e internetit duhet të konfigurohet që të mos vendosë kurrë ndonjë detaj të ndjeshëm të përdoruesit, si p.sh. ID-në e sesionit në URL dhe duhet ta vendosë atë në një parametër të kërkesës GET ose POST. Kjo parandalon që përdoruesi të komprometojë aksidentalisht ID-në e tij të sesionit. Duke përdorur një ID të sesionit dhe një Token të veçantë të vërtetimit, ju dyfishoni sasinë e informacionit që sulmuesi duhet të fitojë dhe parandaloni sulmuesit që të hyjnë në sesione me ID të njohur sesionesh.

Është jetike që të gjitha ID-të e vlefshme të sesionit për një përdorues të zhvlerësohen kur klikohet butoni i daljes. Është e mundur të rigjenerohet ID-ja e sesionit në çdo kërkesë, nëse ID-të e sesionit të mëparshëm janë të pavlefshme, kjo gjithashtu parandalon sulmuesit që të përdorin ID-në e njohur të sesionit. Kjo qasje gjithashtu redukton ndjeshëm dritaren e kërcënimit nëse një përdorues zbulon ID-në e tij të sesionit.

Duke mundësuar shumë prej këtyre qasjeve, një strategji e thelluar e mbrojtjes mund ta eliminojë këtë çështje si një rrezik sigurie.