Pentru că artefactul de sesiune este dovada identității după autentificare, deținerea lui ocolște chiar și autentificarea puternică. Căile de furt includ cross-site scripting, malware care citește stocarea browserului, relee adversary-in-the-middle, scurgere de tokenuri prin jurnale sau referreri, side-jacking pe canale necriptate și fixation, unde atacatorul plantează identificatorul de sesiune.
Apărarea funcționează pe două straturi: faceți tokenurile greu de furat și faceți tokenurile furate inutilizabile rapid. Atributele de cookie securizate, protecția transportului, legarea tokenului de contextul clientului acolo unde este fezabil, duratele de viață scurte, rotirea la schimbarea privilegiilor, detecția anomaliilor pe proprietățile sesiunii și revocarea reală îngustesc toate fereastra.
Puncte esențiale
Vectori de furtCross-site scripting, extensii malițioase sau vulnerabile, malware de endpoint, phishing prin proxy, scurgere prin referreri și jurnale și interceptare acolo unde protecția transportului lipsește.
AtenuareCookie-uri Secure, HttpOnly și cu domeniu adecvat; criptare completă a transportului; legare și rotire de tokenuri; durate de viață scurte, atât de inactivitate cât și absolute; reautentificare pentru acțiuni sensibile.
Detectare și răspunsAlertați la anomalii de sesiune precum schimbări de client, locație sau amprentă; furnizați revocare funcțională; invalidați sesiunile la resetarea credențialelor și la suspiciune de furt.
Limitare importantăCookie-urile corect configurate nu opresc furtul de către malware sau XSS pe endpoint, iar sesiunile de lungă durată lasă o fereastră largă de abuz chiar și când transportul este criptat. Revocarea care nu ajunge la fiecare serviciu emitent și consumator nu este revocare.