Feed de Edgaragg

Artículos relacionados

Facebook Share

Share on facebook

Designed by:
SiteGround web hosting Joomla Templates
Buenas prácticas en el manejo de sesiones en aplicaciones web
Buenas prácticas en el manejo de sesiones en aplicaciones web - Robo de sesión PDF Imprimir E-mail
Escrito por edgaragg   
Lunes, 08 de Septiembre de 2008 14:48
Indice del artículo
Buenas prácticas en el manejo de sesiones en aplicaciones web
Manteniendo el estado
ID de sesión en el URL
Uso de campos ocultos en un formulario
Cookies
El ID de Sesión
Robo de sesión
Fallas comunes
Buen manejo de sesión
Conclusiones
Todas las páginas

Robo de sesión

Como un ID de sesión es generado para identificar univocamente a un usuario y poder hacerle seguimiento en una aplicación web, cualquier atacante que obtenga ese ID puede ser potencialmente capaz de enviar esa información y de esta forma, robar la identidad de alguien más.  Por lo general un atacante posee tres métodos para hacerse con el ID de sesión, estas son: Observación, fuerza bruta y confianza mal dirigida.

Observación:

Por definición, el tráfico HTTP viaja por la web en forma de texto plano, sin encriptación.  Eso implica que cualquier dispositivo que se encuentre en la misma red o en el camino por el que viajan los paquetes HTTP, puede observar el tráfico y obtener el ID de sesión.  Una forma de prevenir la observación del tráfico es usar el protocolo HTTP seguro o HTTPS

Fuerza bruta:

Si el ID de sesión es generado o presentado de una forma tal que resulte predecible, resulta relativamente fácil para un atacante efectuar intentos repetidos para intentar adivinar el ID de sesión.  Dependiendo de la aleatoriedad y longitud del ID este proceso puede tomar poco tiempo, incluso unos cuantos segundos.

Confianza mal dirigida:

En circunstancias ideale, un navegador debe solo intercambiar la información del ID de sesión con un único sitio de confianza.  Desafortundamente, hay ciertas ocasiones en los que este no es el caso.  Por ejemplo, el campo HTTP_REFERER puede enviar el URL completo, y en ciertas aplicaciones, el URL puede contener la información del ID de sesión.

Otro método ampliamente utilizado utilizando caminos de confianza son los ataques de HTML embebido y el Cross Site Scripting  (CSS o XSS).  A través de la inclusión de código HTML o scripts, es posible robar el ID de sesión, sin importar si el método de manejo de sesión es vía GET, POST o por Cookies.

 



Actualizado ( Martes, 23 de Septiembre de 2008 14:38 )