SSL Безопасный вход, но незащищенные ресурсы, имеет ли это смысл? - PullRequest
0 голосов
/ 05 марта 2012

У нас есть веб-сайт, который использует SSL для входа в систему / регистрации, поскольку у нас есть ограничения на использование SSL. поэтому после входа в систему он переходит на другой незащищенный сайт и использует сгенерированный радом маркер сеанса для идентификации пользовательских транзакций.

Насколько это безопасно? учитывая, что если какой-либо сниффер поймал токен во время просмотра фактического пользователя, он может использовать его для вредоносных действий.

Какие-нибудь другие идеи для защиты сеанса пользователя?

Заранее спасибо

Ответы [ 3 ]

4 голосов
/ 05 марта 2012

Если вы используете токены сеансов для поддержки активных сеансов (стандартная и устоявшаяся практика) по HTTP, вы уязвимы для перехвата сеансов, когда любой, кто может перехватить действительный поток трафика, может получить этот токен и использовать его повторно.

Если вы хотите предотвратить это, вам необходимо провести все ваши взаимодействия с пользователем по SSL / TLS, так как тогда токен будет отправляться только через зашифрованный туннель.

Если выне можете этого сделать, значит вы уязвимы.Вы можете ввести некоторый уровень смягчения этого риска, выполнив такие вещи, как привязка токена сеанса к IP-адресу (принимать токен сеанса только в том случае, если он представлен тем же IP-адресом клиента, который был ему выдан), но затемоткрытие банка червей при изменении IP-адресов (представьте, например, что пользователь вошел на ваш сайт, а затем, например, перемещает беспроводные сети).

Вы должны спросить, является ли эта угроза достаточно серьезной, чтобы вы могли ее устранить.Какой тип данных обрабатывается вашим приложением?Если он чувствительный, то вам, вероятно, нужно его защитить ... если он общедоступен, и вы просто используете логины пользователей для отслеживания того, кто к чему имеет доступ, то, возможно, вы этого не делаете. Все зависит от вашего анализа рисков.

Есть несколько других идей на веб-странице OWASP Session Management ... но если вам действительно нужно противостоять этой угрозе, тогда вам нужно проводить все ваши взаимодействия по SSL / TLS.

2 голосов
/ 05 марта 2012

Punch Firesheep в вашу любимую поисковую систему, и скоро станет очевидно, что это не очень хорошая идея.

1 голос
/ 07 марта 2012

Этот предмет подробно документирован при обмене стеками IT Security:

И, наконец, бонус: подробности о том, как защитить себя от этой угрозы:

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...