# Co je únos relace?

> Únos relace (session hijacking) je převzetí autentizované relace — typicky krádeží nebo přehráním jejího tokenu či cookie — takže útočník zdědí přístup oběti bez provedení přihlášení.

- Kanonická URL: https://yellowcube.eu/cs/glossary/session-hijacking/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Protože artefakt relace je po přihlášení důkazem identity, jeho vlastnictví obchází i silnou autentizaci. Cesty krádeže zahrnují cross-site scripting, malware čtoucí úložiště prohlížeče, relaye adversary-in-the-middle, únik tokenů přes logy či referery, side-jacking na nešifrovaných kanálech a fixaci, kde útočník zasadí identifikátor relace.

Obrana působí ve dvou vrstvách: ztížit krádež tokenů a učinit ukradené tokeny rychle nepoužitelnými. Zabezpečené atributy cookies, ochrana transportu, vázání tokenů na kontext klienta, kde je proveditelné, krátké životnosti, rotace při změně oprávnění, detekce anomálií vlastností relace a skutečná revokace — to vše okno zneužití zužuje.

### Klíčové body

- **Vektory krádeže:** Cross-site scripting, škodlivá či zranitelná rozšíření, malware koncových zařízení, proxy phishing, únik refererů a logů a zachycení tam, kde ochrana transportu chybí.
- **Mitigace:** Cookies `Secure`, `HttpOnly` a vhodně omezené; plné šifrování transportu; vázání a rotace tokenů; krátké nečinné i absolutní životnosti; re-autentizace u citlivých akcí.
- **Detekce a reakce:** Výstrahy na anomálie relace jako změny klienta, polohy či otisku; funkční revokace; zneplatnění relací při resetu přihlašovacích údajů a při podezření na krádež.
- **Důležité omezení:** Správně nakonfigurované cookies nezastaví krádež malwarem či XSS na koncovém zařízení a dlouho žijící relace nechávají široké okno zneužití i při šifrovaném transportu. Revokace, která nedosáhne každé vydávající a konzumující služby, není revokací.

### Související termíny

[Správa relací](<https://yellowcube.eu/cs/glossary/session-management/>) · [Autentizační token](<https://yellowcube.eu/cs/glossary/authentication-token/>) · [Převzetí účtu (ATO)](<https://yellowcube.eu/cs/glossary/account-takeover/>) · [Phishing adversary-in-the-middle (AiTM)](<https://yellowcube.eu/cs/glossary/adversary-in-the-middle-phishing/>) · [Cross-site scripting (XSS)](<https://yellowcube.eu/cs/glossary/cross-site-scripting/>)

### Zdroje

[OWASP, Session Management Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html) · [MITRE ATT&CK T1539: Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539/) · [MITRE ATT&CK T1550: Use Alternate Authentication Material](https://attack.mitre.org/techniques/T1550/)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.