EMZETT.Session Fixation
Kurz: Bei Session Fixation schiebt ein Angreifer dem Opfer eine bekannte Sitzungs-ID unter. Meldet sich das Opfer damit an, kennt der Angreifer die nun angemeldete Sitzung.
Genauer: Der Fehler liegt in der Anwendung, die die Sitzungs-ID beim Anmelden nicht erneuert.
Im Detail
- Ablauf: 1. Der Angreifer holt sich eine gültige, noch nicht angemeldete Sitzung. 2. Er bringt das Opfer dazu, diese ID zu verwenden (Link mit ID, manipuliertes Cookie). 3. Das Opfer meldet sich an, die ID bleibt gleich. 4. Der Angreifer nutzt die ID.
- Hauptmittel: Nach Anmeldung, Rechtewechsel und Abmeldung immer eine neue Sitzungs-ID ausstellen und die alte ungültig machen.
- Weitere Maßnahmen: IDs nie in URLs, Cookies mit
HttpOnly,SecureundSameSite, kurze Lebensdauer, Sitzung serverseitig gültig halten. - Verwandt: Session Hijacking stiehlt eine bestehende ID (zum Beispiel per XSS). Fixation setzt sie vorher fest.
- Frameworks: Gute Frameworks erneuern die ID beim Login automatisch. Eigenbau-Sitzungen sind gefährdet.
Siehe auch: CSRF