analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
minuti interi, trascorso il quale il cookie scade viene specificato con l’attributo
timeout.
2. È stata impostata al valore AutoDetect la proprietà SessionStateSection.Cookieless.
L’ID univoco che associa il client a una sessione server può essere archiviato in due
modi dallo stato sessione: tramite l’archiviazione di un cookie HTTP sul client o
tramite la codifica dell’ID di sessione nell’URL. L’archiviazione dell’ID di sessione
nel cookie risulta più sicura, ma richiede il supporto dei cookie da parte del browser
del client. Nel caso delle applicazioni che consentono client che non supportano
cookie, ad esempio alcuni dispositivi mobili, l’ID di sessione può essere archiviato
nell’URL. Tale opzione presenta svariati svantaggi. È necessario che i collegamenti
nel sito siano relativi e che la pagina sia reindirizzata all’inizio della sessione con
nuovi valori di stringa di query. L’ID di sessione viene inoltre esposto nella stringa
di query e può essere quindi rilevato e utilizzato in un attacco alla sicurezza.
È consigliabile utilizzare la modalità senza cookie solo se risulta necessario
supportare client privi di supporto per i cookie.
Lo stato sessione supporta inoltre due opzioni aggiuntive: UseDeviceProfile e
AutoDetect. La prima opzione consente al modulo dello stato sessione di determinare
quale modalità, ovvero con o senza cookie, viene utilizzata su base client, a seconda
delle capacità del browser. Con l’opzione AutoDetect Asp.NET è “così intelligente”
da capire da solo se usare i cookie oppure l’Url; infatti essa consente di eseguire un
handshake con il browser, per verificare se è possibile archiviare un cookie, e
prevede quindi un’ulteriore richiesta per determinare la modalità da utilizzare. In
pratica viene inviato il cookie e si esegue una redirect verso una pagina che controlla
la presenza del cookie; se la pagina di controllo non riceve il cookie significa che il
client non li supporta e inserisce il ticket di login nell’Url. In generale, se è
necessario supportare client senza cookie, è consigliabile prendere in considerazione
l’utilizzo del campo UseDeviceProfile per generare cookie senza URL solo per i
client che li richiedono.
133