Фіксація сесії (session fixation)

Коротко: За фіксації сесії зловмисник підсуває жертві відомий ідентифікатор сесії. Якщо жертва входить із ним, зловмисник знає тепер уже автентифіковану сесію.

Докладніше: Вада — у застосунку, який не оновлює ідентифікатор сесії під час входу.

Подробиці

• Перебіг: 1. Зловмисник отримує чинну, ще не ввійшовшу сесію. 2. Він змушує жертву використати цей ID (посилання з ID, підміна cookie). 3. Жертва входить, ID лишається тим самим. 4. Зловмисник використовує ID.
• Головний захист: Після входу, зміни прав і виходу завжди видавати новий ідентифікатор сесії та анулювати старий.
• Інші заходи: Ніколи не тримати ID в URL, cookie з HttpOnly, Secure і SameSite, короткий термін життя, зберігати сесію чинною на боці сервера.
• Споріднене: Перехоплення сесії (session hijacking) краде наявний ID (наприклад, через XSS). Фіксація задає його заздалегідь.
• Фреймворки: Добрі фреймворки оновлюють ID під час входу автоматично. Самописні сесії під загрозою.

Див. також: CSRF