Session Fixation (oturum sabitleme)

Kısaca: Session fixation’da saldırgan, kurbana bilinen bir oturum kimliği dayatır. Kurban bununla oturum açarsa, saldırgan artık oturum açılmış oturumu bilir.

Biraz daha ayrıntılı: Kusur, oturum kimliğini girişte yenilemeyen uygulamadadır.

Ayrıntılı

• Akış: 1. Saldırgan geçerli, henüz oturum açılmamış bir oturum alır. 2. Kurbanı bu kimliği kullanmaya yöneltir (kimlikli bağlantı, manipüle edilmiş çerez). 3. Kurban oturum açar, kimlik aynı kalır. 4. Saldırgan kimliği kullanır.
• Ana savunma: Girişten, yetki değişikliğinden ve çıkıştan sonra her zaman yeni bir oturum kimliği ver ve eskisini geçersiz kıl.
• Diğer önlemler: Kimlikleri asla URL’lerde tutma, HttpOnly, Secure ve SameSite çerezleri, kısa ömür, oturumu sunucu tarafında geçerli tut.
• İlgili: Session hijacking mevcut bir kimliği çalar (örneğin XSS ile). Fixation onu önceden belirler.
• Çatılar: İyi çatılar kimliği girişte otomatik yeniler. Kendi yapılan oturumlar risk altındadır.

Ayrıca bak: CSRF