Coders Conquer Security : Série Partage & Apprentissage - Faiblesses de la gestion de session

Vous naviguez sur un site web et vous vous connectez. Comme d'habitude, vous remplissez votre panier avec les produits que vous souhaitez acheter. Puis, oups, votre main glisse et vous fermez l'onglet du navigateur. Après une légère panique, vous saisissez à nouveau l'URL du site dans le navigateur et appuyez sur la touche « Entrée ». Vous êtes ramené sur le site, connecté, et tous vos articles sont toujours dans le panier. Ouf.

Comment le site a-t-il su qui vous étiez sans vous ré-authentifier ? Il vous a identifié grâce aux sessions. Les sessions sont essentielles à une bonne expérience utilisateur sur le web. Cependant, une mauvaise gestion des sessions peut entraîner des failles de sécurité exploitables par des attaquants.

Examinons maintenant ce que signifie la gestion de session, comment une gestion défaillante peut vous nuire et ce que vous pouvez faire pour gérer les sessions correctement.

Comprendre les faiblesses de la gestion de session

Une session fait référence à une valeur stockée sur le serveur, spécifique à un utilisateur unique de l'application. Cela est nécessaire pour deux raisons : premièrement, HTTP est un protocole sans état. Chaque requête est distincte et n'a aucune connaissance des requêtes précédentes ou suivantes. Une session aide le serveur à savoir qui a envoyé la requête. Sinon, vous devriez vous connecter à chaque fois que vous cliqueriez sur un bouton ou un lien.

La deuxième raison d'être des sessions est l'autorisation de l'utilisateur. L'identifiant de session peut être utilisé pour reconnaître un utilisateur spécifique disposant de droits particuliers au sein du système. L'application saura qui est la personne et ce qu'elle est autorisée à faire.

Une session se compose de deux éléments. Un espace de stockage côté serveur conserve un identifiant de session et le lie à des informations sur l'utilisateur, telles que son identifiant ou le contenu de son panier. Ce même identifiant de session est envoyé au navigateur dans un cookie. Les cookies sont stockés par le navigateur sur le système de l'utilisateur. Le client transmet le cookie à chaque requête, permettant au serveur de savoir que cette requête provient du même utilisateur. La plupart des applications utilisent des sessions pour suivre les utilisateurs avant et après leur authentification.

Une gestion appropriée des sessions est essentielle à la sécurité d'une application. Un identifiant de session valide possède le même niveau de confiance qu'un nom d'utilisateur/mot de passe, voire qu'un jeton d'authentification à deux facteurs.

Pourquoi une mauvaise gestion des sessions est dangereuse

Une mauvaise gestion des sessions peut conduire à une prise de contrôle totale du compte. Cela signifie que les données des clients peuvent être volées ou que des produits peuvent être achetés frauduleusement. Il existe plusieurs moyens pour les attaquants d'obtenir un identifiant de session valide.

Une attaque par fixation de session se produit lorsque les sessions ne sont pas renouvelées à des moments clés, comme lors de la connexion au système, et si les identifiants de session peuvent être définis via l'URL. Définir des identifiants de session de cette manière peut servir à maintenir les utilisateurs connectés sur différentes applications utilisant la même source d'authentification. Dans ce cas, un attaquant peut naviguer sur un site web et obtenir un identifiant de session. Il envoie ensuite une URL à une victime peu méfiante par e-mail, contenant cet identifiant. La victime clique sur le lien et se connecte au site. Si l'identifiant de session n'est pas renouvelé après la connexion, l'attaquant dispose alors d'un identifiant de session valide et authentifié. Cela permet une prise de contrôle totale du compte.

Une autre attaque liée à une mauvaise gestion des sessions est l'attaque par force brute. Lorsque les développeurs tentent de créer leurs propres systèmes de gestion de session, ils utilisent souvent des identifiants faciles à deviner. Il peut s'agir d'une séquence (1, 2, 3) ou d'un modèle prévisible. L'attaquant continue simplement à deviner les identifiants jusqu'à en découvrir un valide. Cela conduit également à une prise de contrôle du compte.

Les sessions qui ne sont pas invalidées automatiquement après un certain laps de temps peuvent être exploitées pour attaquer les utilisateurs. Une attaque par falsification de requête intersite (CSRF) réussie dépend de sessions qui restent valides après que l'utilisateur a quitté le site. Imaginons qu'un attaquant place une iframe ou une image sur un site visité par l'utilisateur. L'attribut « src » (source) est défini sur l'URL du site vulnérable et effectue une action au nom de l'utilisateur. Par exemple, une application bancaire vulnérable pourrait être amenée à transférer de l'argent vers le compte d'un attaquant sans l'autorisation de l'utilisateur.

La gestion des sessions peut être complexe et ses faiblesses peuvent être dévastatrices. Cependant, c'est un problème bien connu qui peut être résolu.

Vaincre l'insécurité de la gestion de session

La gestion de session est un élément central de toute application web. Par conséquent, de nombreux frameworks de développement web intègrent des fonctionnalités de gestion de session. Ces systèmes ont été examinés par des experts pour identifier et éliminer les problèmes. Utilisez-les.

Voici quelques caractéristiques courantes d'une bonne gestion de session :

     Génération d'identifiants de session aléatoires impossibles à deviner pour les attaquants

     Invalidation des sessions lors de la déconnexion de l'utilisateur

     Invalidation automatique des sessions après une période d'inactivité définie

     Renouvellement des identifiants de session après la connexion de l'utilisateur

     Identifiants de session d'au moins 128 bits pour prévenir les attaques par force brute

Les frameworks web tels que Spring, ASP.NET Core, Rails et Django intègrent ces propriétés et devraient être privilégiés pour leurs standards de sécurité supérieurs dans ce contexte.

En résumé : ne créez pas votre propre système de gestion de session à partir de zéro.

Une fois créés, les identifiants de session doivent être protégés. Activez les attributs Secure et HttpOnly sur les cookies de session. Cela garantit que leur valeur ne peut être récupérée par JavaScript et que le navigateur ne transmettra le cookie que via HTTPS, empêchant ainsi le vol de session lors du transit.

Sécurisez vos sessions

Consultez nos ressources pédagogiques gratuites pour en savoir plus sur la gestion sécurisée des sessions. Apprendre à sécuriser vos sessions permet de prévenir le piratage de comptes, les atteintes à la réputation et les pertes financières liées aux failles de sécurité. Sécurisez vos sessions pour protéger vos utilisateurs.