Coders Conquer Security: Share & Learn Serie – Schwachstellen bei der Sitzungsverwaltung

Sie besuchen eine Website und melden sich an. Wie üblich füllen Sie Ihren Warenkorb mit Produkten, die Sie kaufen möchten. Dann passiert es – Sie kommen versehentlich auf die Taste und schließen den Browser-Tab. Nach einem kurzen Schreckmoment geben Sie die URL der Seite erneut in den Browser ein und drücken die Eingabetaste. Sie gelangen zurück auf die Seite, sind weiterhin angemeldet und alle Ihre Artikel befinden sich noch im Warenkorb. Puh.

Woher wusste die Seite, wer Sie sind, ohne dass Sie sich erneut authentifizieren mussten? Sie wurden identifiziert, weil die Seite Sessions verwendet. Sessions sind der Schlüssel zu einer guten Nutzererfahrung im Web. Eine fehlerhafte Verwaltung von Sessions kann jedoch zu Sicherheitslücken führen, die von Angreifern ausgenutzt werden können.

Lassen Sie uns nun betrachten, was Session-Management bedeutet, wie eine schwache Session-Verwaltung Ihnen schaden kann und was Sie tun können, um Sessions ordnungsgemäß zu verwalten.

Schwachstellen im Session-Management verstehen

Eine Session bezieht sich auf einen Wert, der auf dem Server gespeichert ist und spezifisch für einen einzelnen Nutzer der Anwendung ist. Dies ist aus zwei Gründen notwendig: Erstens ist HTTP ein zustandsloses Protokoll. Jede Anfrage ist separat und hat keine Kenntnis von Anfragen, die davor oder danach kamen. Eine Session hilft dem Server dabei, nachzuverfolgen, wer die Anfrage gesendet hat. Andernfalls müssten Sie sich jedes Mal neu anmelden, wenn Sie auf eine Schaltfläche oder einen Link klicken.

Der zweite Grund für Sessions ist die Autorisierung des Nutzers. Der Session-Identifikator kann verwendet werden, um einen bestimmten Nutzer mit spezifischen Rechten innerhalb des Systems zu erkennen. Die Anwendung weiß dann, wer die Person ist und was sie tun darf.

Eine Session besteht aus zwei Komponenten. Ein Datenspeicher auf der Serverseite speichert einen Session-Identifikator und verknüpft ihn mit Informationen über den Nutzer, wie z. B. dessen Benutzer-ID oder Warenkorbinformationen. Derselbe Session-Identifikator wird als Cookie an den Browser gesendet. Die Cookies werden vom Browser auf dem System des Nutzers gespeichert. Der Client übermittelt das Cookie bei jeder Anfrage und lässt den Server so wissen, dass diese Anfrage vom selben Nutzer stammt. Die meisten Anwendungen verwenden Sessions, um Nutzer sowohl vor als auch nach der Authentifizierung zu verfolgen.

Ein korrektes Session-Management ist für die Sicherheit einer Anwendung unerlässlich. Eine gültige Session-ID hat das gleiche Vertrauensniveau wie ein Benutzername/Passwort oder sogar ein Token für die Zwei-Faktor-Authentifizierung.

Warum ein schlechtes Session-Management gefährlich ist

Ein schlechtes Session-Management kann zur vollständigen Übernahme eines Kontos führen. Das bedeutet, dass Kundendaten gestohlen oder Produkte betrügerisch erworben werden können. Es gibt verschiedene Möglichkeiten für Angreifer, eine gültige Session-ID zu erlangen.

Ein Session-Fixation-Angriff tritt auf, wenn Sessions zu kritischen Zeitpunkten, wie etwa bei der Anmeldung am System, nicht geändert werden und wenn Session-Identifikatoren über die URL festgelegt werden können. Das Festlegen von Session-Identifikatoren auf diese Weise kann dazu genutzt werden, Nutzer über verschiedene Anwendungen hinweg angemeldet zu halten, die dieselbe Authentifizierungsquelle verwenden. In diesem Fall kann ein Angreifer eine Website aufrufen und eine Session-ID erhalten. Der Angreifer sendet dann per E-Mail eine URL mit der Session-ID an ein ahnungsloses Opfer. Das Opfer klickt auf den Link in der E-Mail und meldet sich auf der Website an. Wenn die Session-ID bei der Anmeldung nicht erneuert wird, verfügt der Angreifer nun über eine gültige, authentifizierte Session-ID. Dies ermöglicht die vollständige Übernahme des Kontos.

Ein weiterer Angriff auf ein schlechtes Session-Management ist das Brute-Force-Raten. Wenn Entwickler versuchen, ihre eigenen Session-Management-Systeme zu erstellen, verwenden sie oft Session-IDs, die ziemlich leicht zu erraten sind. Dies können Sequenzen (1, 2, 3) oder ein vorhersehbares Muster sein. Der Angreifer rät einfach so lange Session-IDs, bis eine gültige entdeckt wird. Auch dies führt zur Übernahme eines Kontos.

Sessions, die nicht automatisch nach einer gewissen Zeit ungültig werden, können ausgenutzt werden, um Nutzer anzugreifen. Ein erfolgreicher Cross-Site-Request-Forgery-Angriff hängt von Sessions ab, die auch dann noch gültig sind, wenn der Nutzer die Seite verlassen hat. Nehmen wir an, ein Angreifer platziert ein Iframe oder ein Bild auf einer Seite, die vom Nutzer besucht wird. Das „src“-Attribut (Quelle) ist auf die URL der anfälligen Seite eingestellt und führt eine Aktion im Namen des Nutzers aus. Beispielsweise könnte eine anfällige Banking-Anwendung dazu gebracht werden, Geld ohne die Zustimmung des Nutzers auf das Konto eines Angreifers zu überweisen.

Session-Management kann kompliziert sein und Schwachstellen können verheerende Folgen haben. Es handelt sich jedoch um ein bekanntes Problem, das gelöst werden kann.

Unsicheres Session-Management besiegen

Das Session-Management ist ein zentraler Bestandteil jeder Webanwendung. Daher verfügen viele Web-Entwicklungs-Frameworks über integrierte Funktionen zur Session-Verwaltung. Diese Systeme wurden von Experten genauestens geprüft, um Probleme zu finden und zu beheben. Nutzen Sie diese.

Einige allgemeine Merkmale eines guten Session-Managements sind:

     Zufällige Sitzungs-IDs, die für Angreifer nicht erratbar sind

     Sitzungen werden beim Abmelden des Benutzers ungültig

     Sitzungen werden nach einer bestimmten Zeit automatisch ungültig

     Sitzungs-IDs werden nach der Anmeldung des Benutzers geändert

     Sitzungs-IDs mit mindestens 128 Bit Länge zur Abwehr von Brute-Force-Angriffen

Web-Frameworks wie Spring, ASP.NET Core, Rails und Django bieten diese Eigenschaften und sollten aufgrund ihrer höheren Sicherheitsstandards in diesem Fall verwendet werden.

Fazit: Entwickeln Sie kein eigenes Sitzungsverwaltungssystem von Grund auf.

Sobald Sitzungs-IDs erstellt wurden, müssen sie geschützt werden. Setzen Sie die Secure- und HttpOnly-Flags bei Sitzungscookies auf „true“. Dies stellt sicher, dass ihr Wert nicht per JavaScript ausgelesen werden kann und der Browser das Cookie nur über HTTPS sendet, was verhindert, dass Angreifer Sitzungen während der Übertragung stehlen.

Sichern Sie Ihre Sitzungen

Entdecken Sie unsere kostenlosen Lernressourcen, um mehr über eine sichere Sitzungsverwaltung zu erfahren. Wenn Sie lernen, wie Sie Ihre Sitzungen absichern, helfen Sie dabei, die Übernahme von Benutzerkonten, Reputationsschäden und Umsatzeinbußen durch Sicherheitsverletzungen zu verhindern. Sichern Sie Ihre Sitzungen und schützen Sie Ihre Benutzer.