analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
Figura 67 Gestione dei token di sessione
Per quanto riguarda la gestione delle sessioni è fondamentale proteggere l’ID di sessione
utilizzando un canale di trasmissione sicuro in maniera da ridurre il rischio di intercettazione; è
altresì importante utilizzare identificativi che siano difficili da generare e composti, in maniera
casuale, facendo uso di complicate catene di numeri e caratteri. Se i token di sessione non
vengono adeguatamente protetti, un aggressore potrebbe dirottare una sessione attiva e
assumere il ruolo di un malcapitato utente.
La difesa a questo rischio non consiste solo nel rendere sicura la trasmissione del cookie (come
viene fatto adoperando SSL) ma piuttosto è necessario, nell’applicazione web, capire se il
session id allegato ad una richiesta è valido oppure corrotto, cioè applicare uno schema di
gestione della sessione.
Esistono diversi schemi di gestione delle sessioni utente:
• time-out della sessione: sappiamo che un attacco richiede del tempo, sia per quanto riguarda
la preparazione sia per la sua messa in atto. Una sessione che non ha scadenza nel tempo
può dare all’attaccante un tempo infinito a sua disposizione. Inserendo invece una scadenza
(time-out) che invalida l’id di sessione, forzando la cancellazione dei dati accumulati, limita
in modo significativo tale possibilità ed evita alcuni problemi come il mantenimento in
cache delle informazioni (specialmente quando si utilizzano proxy) ;
131