Coders Conquer Security: Serie de aprendizaje y difusión - Debilidades en la gestión de sesiones

Entras en un sitio web e inicias sesión. Como es habitual, llenas tu carrito con los productos que deseas comprar. Entonces, ¡vaya!, se te escapa la mano y cierras la pestaña del navegador. Tras un pequeño susto, vuelves a escribir la URL del sitio en el navegador y pulsas la tecla "Enter". Regresas al sitio, inicias sesión y todos tus artículos siguen en el carrito. Uf.

¿Cómo supo el sitio quién eras sin volver a autenticarte? Te identificó porque estaba usando sesiones. Las sesiones son fundamentales para una buena experiencia de usuario en la web. Sin embargo, una gestión incorrecta de las mismas puede generar brechas de seguridad que los atacantes pueden aprovechar.

Revisemos ahora qué significa la gestión de sesiones, cómo una gestión deficiente puede perjudicarte y qué puedes hacer para gestionar las sesiones correctamente.

Comprender las debilidades en la gestión de sesiones

Una sesión se refiere a un valor almacenado en el servidor, específico para un solo usuario de la aplicación. Esto es necesario por dos razones: primero, HTTP es un protocolo sin estado. Cada solicitud es independiente y no tiene conocimiento de las solicitudes anteriores o posteriores. Una sesión ayuda al servidor a rastrear quién envió la solicitud. De lo contrario, tendrías que iniciar sesión cada vez que hicieras clic en un botón o un enlace.

La segunda razón de las sesiones es la autorización del usuario. El identificador de sesión puede utilizarse para reconocer a un usuario específico con derechos determinados dentro del sistema. La aplicación sabrá quién es la persona y qué tiene permitido hacer.

Una sesión tiene dos componentes. Un almacén de datos en el lado del servidor guarda un identificador de sesión y lo vincula a información sobre el usuario, como su ID de usuario o el contenido del carrito. El mismo identificador de sesión se envía al navegador en una cookie. Las cookies son almacenadas por el navegador en el sistema del usuario. El cliente envía la cookie con cada solicitud, permitiendo que el servidor sepa que esta proviene del mismo usuario. La mayoría de las aplicaciones utilizan sesiones para rastrear a los usuarios tanto antes como después de la autenticación.

Una gestión de sesiones adecuada es esencial para la seguridad de una aplicación. Un ID de sesión válido tiene el mismo nivel de confianza que un nombre de usuario y contraseña, o incluso que un token de autenticación de segundo factor.

Por qué una mala gestión de sesiones es peligrosa

Una mala gestión de sesiones puede llevar a la toma de control total de una cuenta. Esto significa que los datos del cliente pueden ser robados o que se pueden realizar compras fraudulentas. Existen varias formas en las que los atacantes pueden obtener un ID de sesión válido.

Un ataque de fijación de sesión ocurre cuando las sesiones no se cambian en momentos clave, como cuando un usuario inicia sesión en el sistema, y si los identificadores de sesión pueden establecerse mediante la URL. Configurar los identificadores de sesión de esta manera puede utilizarse para mantener a los usuarios conectados en diferentes aplicaciones que usan la misma fuente de autenticación. En este caso, un atacante puede navegar a un sitio web y obtener un ID de sesión. Luego, el atacante envía una URL a una víctima desprevenida por correo electrónico con el ID de sesión en la URL. La víctima hace clic en el enlace e inicia sesión en el sitio web. Si el ID de sesión no se rota al iniciar sesión, el atacante ahora tiene un ID de sesión válido y autenticado. Esto permite la toma de control total de la cuenta.

Otro ataque derivado de una mala gestión de sesiones es el ataque de fuerza bruta. Cuando los desarrolladores intentan crear sus propios sistemas de gestión de sesiones, a menudo utilizan IDs de sesión que son bastante fáciles de adivinar. Estos podrían ser una secuencia (1, 2, 3) o algún tipo de patrón predecible. El atacante simplemente sigue adivinando IDs de sesión hasta que descubre uno válido. Esto también conduce a la toma de control de la cuenta.

Las sesiones que no se invalidan automáticamente después de que ha pasado cierto tiempo pueden ser explotadas para atacar a los usuarios. Un ataque exitoso de falsificación de petición en sitios cruzados (CSRF) depende de sesiones que siguen siendo válidas después de que el usuario abandona el sitio. Supongamos que un atacante coloca un iframe o una imagen en un sitio visitado por el usuario. El atributo "src" (fuente) se establece en la URL del sitio vulnerable y realiza una acción en nombre del usuario. Por ejemplo, se podría hacer que una aplicación bancaria vulnerable transfiera dinero a la cuenta de un atacante sin el permiso del usuario.

La gestión de sesiones puede ser complicada y sus debilidades pueden ser devastadoras. Sin embargo, es un problema bien conocido y tiene solución.

Derrota la gestión de sesiones insegura

La gestión de sesiones es una pieza central de cualquier aplicación web. Como resultado, muchos marcos de desarrollo web tienen una funcionalidad de gestión de sesiones integrada. Estos sistemas han sido examinados por expertos para encontrar y eliminar problemas. Úsalos.

Algunas propiedades comunes de una buena gestión de sesiones incluyen:

     Generación de identificadores de sesión aleatorios que los atacantes no pueden adivinar

     Las sesiones se invalidan cuando el usuario cierra la sesión

     Las sesiones se invalidan automáticamente tras transcurrir un tiempo determinado

     Los identificadores de sesión se modifican después de que el usuario inicia sesión

     Identificadores de sesión de al menos 128 bits de longitud para evitar ataques de fuerza bruta

Los marcos de trabajo web como Spring, ASP.NET Core, Rails y Django poseen estas propiedades y deben utilizarse por sus estándares de seguridad superiores en este caso.

En resumen: no cree su propio sistema de gestión de sesiones desde cero.

Una vez creados los identificadores de sesión, deben protegerse. Establezca las flags Secure y HttpOnly en "true" en las cookies de sesión. Esto garantiza que su valor no pueda ser recuperado mediante JavaScript y que el navegador solo envíe la cookie a través de HTTPS, evitando que los atacantes roben la sesión de alguien durante la transmisión.

Proteja sus sesiones

Consulte nuestros recursos de aprendizaje gratuitos para obtener más información sobre la gestión segura de sesiones. Aprender a proteger sus sesiones ayudará a prevenir la toma de control de cuentas de usuario, daños a la reputación y pérdida de ingresos debido a brechas de seguridad. Proteja sus sesiones y mantenga a sus usuarios a salvo.