La rotazione dell'ID Session migliora la sicurezza?

Question

(credo) Capisco perché gli ID di sessione devono essere ruotati quando l'utente esegue l'accesso: questo è un passaggio importante per impedire session fixation.

Tuttavia, vi è alcun vantaggio nel ruotare in modo casuale/periodicamente ID di sessione?

Questo a mio parere fornisce solo un falso senso di sicurezza. Supponendo che gli ID di sessione non siano vulnerabili a ipotesi di forza bruta e trasmetti l'ID di sessione solo in un cookie (non come parte degli URL), allora un utente malintenzionato dovrà accedere al tuo cookie (molto probabilmente facendo lo snooping sul tuo traffico) per ottenere il tuo ID della sessione. Pertanto, se l'autore dell'attacco riceve un ID di sessione, probabilmente sarà in grado di annusare anche l'ID di sessione ruotato, pertanto la rotazione casuale non ha migliorato la sicurezza.

Answer 1

Se si utilizzano identificativi di sessione memorizzati nei cookie, la risoluzione della sessione non è un problema. Ho sfogliato il foglio che hai incollato e vedo cose come usare DNS e XSS per possedere l'utente, che ovviamente sono problemi molto più grandi (per non dire separati) rispetto alla fissazione della sessione. Se si dispone dell'identificatore di sessione (con un livello accettabile di entropia) memorizzato in un cookie, non esiste alcun motivo ragionevole per ruotarlo. L'unico motivo per farlo ruotare sarebbe perché è ipotizzabile o vulnerabile in qualche altro modo, nel qual caso l'utente viene comunque posseduto.

Answer 2

Lo sviluppo Web non è il mio genere, ma è possibile perché l'accesso dell'utente può essere un utente malintenzionato? Ad esempio, se accedo e ottengo l'ID di sessione 4, posso indovinare che l'ID di sessione 5 apparterrà a qualche altro utente, modificherà il mio cookie locale e quindi agirò come tale utente?

Answer 3

Suona come un'idea stupida nel complesso.

Sarebbe totalmente rovinare gli utenti se colpiscono il pulsante Indietro come i collegamenti nella pagina precedente ora includevano un id di sessione non aggiornato. Puoi anche eliminare qualsiasi AJAX perché ogni volta che viene creato un RPC sul server, tutti i link/moduli nella pagina richiedono l'aggiornamento poiché ora hanno valori non validi. Se tutto questo è meno sicuro perché significa che la tua applicazione diventa più complicata e ha più possibilità di avere un errore in essa.

Se il ragionamento richiede di "ruotare" id probabilmente significa che i tuoi id sono generati male, e che dovrebbe essere la cosa che viene corretta. Se lo snooping è un problema usa SSL.

Answer 4

Secondo questo post del blog SSL Labs (dal 2013), i chiphers RC4 (ancora visibili in natura, 2017) sono deboli e potrebbero consentire a un black hat di rivelare i dati dei cookie di sessione dal traffico HTTPS intercettato (ad esempio tramite Wi-Fi).

L'ID/dati del cookie di sessione ruotanti ogni x unità di tempo (minuti?) E dopo ogni y numero di richieste, è suggerito nel post del blog.