Otimanje sesije u akciji: Kako napadači kradu vašu sesiju
To nije teoretski; to se događa u stvarnosti pipelines, verzije i sesije preglednika. Napadači koriste razne taktike iz stvarnog svijeta za izvođenje otmice sesije, uključujući:
- Njuškanje kolačića poslanih putem HTTP-a (bez TLS-a)
- Krađa pristupnih tokena ili JWT-ovi pohranjeno u zapisnicima
- Ponovna upotreba tokena ili kolačića iz zastarjelih testnih okruženja
Primjer: Kolačić poslan putem HTTP-a
⚠️Upozorenje: Ovaj primjer pokazuje nesiguran prijenos kolačića.
Bez HTTPS-a, MITM napadač može ukrasti sesiju i lažno se predstaviti kao korisnik.
Primjer: Token izložen u zapisnicima
⚠️Ne zapisujte tokene; napadači s pristupom CI zapisnicima mogu odmah izvršiti otmicu sesije.
Pogreške na razini koda koje omogućuju otmicu sesije
Većina napada otimanja sesije ne počinje s iskorištavanjem; počinju s lošim kodom. Evo što otvara vrata:
Tvrdo kodirane tajne
⚠️Tvrdo kodirane tajne čine generiranje tokena predvidljivim.
Nedostaju sigurnosne zastavice na kolačićima
⚠️Ne HttpOnlyNa OsiguratiNa Isto mjestoTo je otmica sesije koja samo čeka da se dogodi.
Sigurnija verzija:
Ponovna upotreba tokena u različitim okruženjima
- Tokeni stvoreni u testnim okruženjima kopiraju se u pripravno ili čak produkcijsko okruženje.
- Nema vezivanja opsega ili okruženja za tokene.
- Sesije ne istječu niti se rotiraju.
Svi ovi obrasci izravno omogućuju otmicu.
CI/CD i Pipeline Praznine koje povećavaju rizik
CI/CD često pojačava ono što programeri propuštaju u lokalnom kodu. Pipeline-povezani vektori otimanja sesije uključuju:
- Pukotina Autorizacija zaglavlja u zapisnicima izgradnje
- Statički ključevi sesije pohranjeni u .NS slika commitprebačen u Git
- Ponovna upotreba tokena između pipeline faze
Pravi rizik: Token ispisan u CI zapisniku
⚠️Tokeni sesije nikada se ne smiju ispisivati ili ponavljati.
Riskantno rukovanje .env datotekama
⚠️Ako ova datoteka procuri, sve prošle sesije mogu biti kompromitirane.
Otimanje sesije ne staje na aplikaciji; ono se kreće kroz pipelinei okruženja.
Sprječavanje otimanja sesija ugrađeno u razvojne tijekove rada
Da bi se zaustavila otmica, Prevencija mora biti ugrađena u tijekove razvoja i isporuke.
Kontrolna lista za prevenciju:
- Uvijek postavi zastavice kolačića: HttpOnly, Secure i SameSite
- Nikad ne zapisuj tokene ili identifikatore sesije
- Koristite HTTPS u svim okruženjima (lokalno, pripremno, produkcijsko)
- Redovito rotirajte tajne i ključeve sesije
- Osigurajte da tokeni brzo isteknu i da se ne mogu ponovno upotrijebiti
- Povezivanje sesija s atributima klijenta (IP, korisnički agent)
- Tokeni opsega po okruženju (nemojte ponovno koristiti tokene produkcije u testiranju)
- Koristite kratkotrajne tokene za pristup s mehanizmima osvježavanja
- Izbjegavajte čvrsto kodirane tajne ili ključeve u izvornom kodu
- Validirajte svu logiku povezanu sa sesijom tijekom CI/CD pipelines
Primjer sigurnijeg CI-ja:
Sprječavanje otimanja sesije znači da CI mora postati vaša druga linija obrane.
Od lokalne greške do prijetnje lancu opskrbe: Pomak ulijevo s Xygenijem
Ono što počinje kao loša konfiguracija kolačića može eskalirati u potpuno kršenje sigurnosti ako se ne kontrolira. Alati poput Xygeni omogućiti:
- Praćenje toka tokena sesije od koda do produkcije
- Otkrivanje nedostajućih atributa kolačića u izvoru
- Skeniraj za tajne u .NS, konfiguracije ili zapisnici
- Praćenje nesigurnih praksi sesija u paketima trećih strana
Xygeni pomaže u sprječavanju da problemi s lokalnim sesijama postanu vektori napada otmice u cijelom lancu opskrbe.
Zatvaranje vrata otmici
Ako to aktivno ne sprječavate, ostavljate vrata otvorena. Svaka nesigurna zastavica kolačića, procurili token i zastarjela sesija predstavljaju uporište za napadače.
Ugradite sprječavanje otimanja sesije u svoju kodnu bazu i CI/CDPratite tokove sesija u različitim okruženjima. Koristite alate poput Xygenija za pomicanje ulijevo i zaustavljanje putanja otimanja sesija prije nego što dođu do produkcije. Osigurajte sesiju ili će je napadači iskoristiti protiv vas.
