Hvað er Session Fixation?

Það eru margar mismunandi gerðir af öryggisveikleikum sem finnast á vefsíðum, einn áhugaverður er kallaður „Session Fixation“. Setuleiðrétting er vandamál þar sem árásarmaður getur haft áhrif á lotuauðkenni, aka lotuauðkenni notanda og síðan notað það til að fá aðgang að reikningnum sínum. Það eru tvær leiðir sem þessi tegund af varnarleysi getur virkað, það getur gert árásarmanninum kleift að finna eða stilla lotuauðkenni annars notanda.

Hvernig setufestingarárás er framkvæmd

Setuauðkenni notanda er oft lykilatriði í auðkenningu á vefsíðunni og eru í mörgum tilfellum einu gögnin sem auðkenna tiltekinn notanda sem er skráður inn. Vandamálið við þetta er að ef árásarmaður getur stillt eða lært lotuauðkenni annars notandi, þeir geta notað lotumerkið og geta síðan komið fram sem notandi.

Venjulega er þetta gert með því að blekkja notanda til að smella á tegund vefveiðatengils. Hlekkurinn sjálfur er algjörlega lögmætur en inniheldur breytu sem setur tilgreint lotuauðkenni. Ef notandinn skráir sig síðan inn með lotuauðkenninu og þjónninn úthlutar honum ekki nýju lotuauðkenni við innskráningu getur árásarmaðurinn einfaldlega stillt lotuauðkenni sitt á það sama og fengið aðgang að reikningi fórnarlambsins.

Önnur leið sem árásarmaðurinn getur uppgötvað setuauðkenni fórnarlambsins er ef það birtist á vefslóð. Til dæmis, ef árásarmaðurinn getur blekkt fórnarlambið til að senda þeim tengil og það inniheldur lotuauðkenni fórnarlambsins, getur árásarmaðurinn notað lotuauðkennið til að fá aðgang að reikningi fórnarlambsins. Í sumum tilfellum getur þetta gerst algjörlega óvart. Til dæmis, ef notandinn afritar vefslóðina með lotuauðkenninu og límir hana á vin eða á spjallborði, verður hver notandi sem fylgir hlekknum skráður inn með reikningi notandans.

Lagfæringar á þingfestingu

Það eru nokkrar lausnir á þessu vandamáli og eins og alltaf er besta lausnin að innleiða eins margar lagfæringar og mögulegt er sem hluti af ítarlegri varnarstefnu. Fyrsta lausnin er að breyta lotuauðkenni notandans þegar þeir skrá sig inn. Þetta kemur í veg fyrir að árásarmaður geti nokkurn tíma haft áhrif á lotuauðkenni innskráðans notanda. Þú getur líka stillt þjóninn þannig að hann samþykki eingöngu lotuauðkenni sem hann hefur búið til og hafni beinlínis öllum lotuauðkennum sem notandi hefur gefið upp.

Vefsvæðið ætti að vera stillt þannig að það setji aldrei viðkvæmar notendaupplýsingar eins og lotuauðkenni í vefslóðina og ætti að setja það í GET eða POST beiðni færibreytu. Þetta kemur í veg fyrir að notandinn komist óvart með eigin lotuauðkenni. Með því að nota bæði lotuauðkenni og sérstakt auðkenningartákn tvöfaldarðu magn upplýsinga sem árásarmaðurinn þarf að afla og kemur í veg fyrir að árásarmenn fái aðgang að lotum með þekkt lotuauðkenni.

Það er mikilvægt að öll gild lotuauðkenni fyrir notanda séu ógild þegar smellt er á útskráningarhnappinn. Það er hægt að endurskapa lotuauðkenni við hverja beiðni, ef fyrri lotuauðkenni eru ógild kemur það einnig í veg fyrir að árásarmenn noti þekkt lotuauðkenni. Þessi aðferð dregur einnig verulega úr hættuglugganum ef notandi gefur upp eigin lotuauðkenni.

Með því að virkja margar af þessum aðferðum getur ítarleg varnaráætlun útrýmt þessu vandamáli sem öryggisáhættu.