Möglichkeiten des Session Hijackings
Angriffe auf Sitzungsbezeichner
- Brute Force
- Berechnung (falls einfacher Algo zugrunde liegt)
- Cross Site Scripting (stehe Session ID von bereits authentifizierten Nutzern durch Ausnutzung einer XSS-Schwachstelle)
- Sniffing (Extrahiere ID aus Netzwerkverkehr)
Anforderungen an Sitzungsbereichner
- hinreichend lang
- echt zufällig
- nicht berechenbar (durch Dritte)
zB MD5(R1+Time+IP+R2)
Sitzungsbezeichner in der URL
Sitzungsbezeichner in der URL können in Browser History, Proxy Logs, Server-Logs, usw ausgelesen werden
daher: cookies
session fixation angriff
Setze ID auf einen vom Angreifer kontrollierten Wert.
Ermöglicht es dem Angreifer, eine valide user session zu übernehmen. Der Angreifer besorgt sich eine valide session id indem er sich mit der Applikation verbindet, gibt die id an sein opfer weiter (zb in form einer URL mit session ID als URL-Argument) und hijackt mit Wissen der ID dann die Verbindung.
-> daher: änderung der session ID bei login und logout
preauthentication angriff
Kopiere den Sitzungsbezeichner vor dem Login-Vorgang
-> daher: änderung der session ID bei login und logout
