A sessão (padrão do PHP) é baseada na seguinte maneira:
- O cliente possui um identificador baseado em cookies (ou parâmetro de URL).
- O servidor possui um arquivo na pasta temporária, este arquivo possui "o conteúdo" da sessão.
Também irei dizer como mitigar isto, caso seja aplicável.
Primeiro entenda que o seu servidor gera um cookie contendo um identificador da sessão (*padrão o nome do cookie é PHPSESSID) e todas as requisições posteriores, dentro do website, vão enviar tal identificador.
Vulnerabilidades comuns:
Packet Sniffing/MITM:
Um "atacante" vai fazer um MITM (man-in-the-middle) para obter este cookie, ele pode utilizar o DNS Spoofing (DNS Poisoning...), Proxy Attacks, ARP Spoofing...
O objetivo é o mesmo, no MITM é obter a sessão do usuário interceptando diretamente a conexão e "descriptografando" a conexão, se necessário e possível. O MITM é um tipo de Sniffing.
Modo de corrigir o problema:
Utilize apenas TLS 1.2 (e 1.3) em todas as comunicações (não use SSLv2!).
Utilize apenas cookies e nunca passe este valor por nenhum outro meio.
Utilize o header de HPKP (HTTP Public Key Pinning) assim o navegador apenas confiará no seu certificado SSL.
Utilize os cookies com as flags de Secure
.
Utilize os cookies apenas onde precisa, arquivos estáticos passe para um sub-domínio (css.site.com
).
Tenha cuidado com: manter a chave privada do certificado SSL em um local seguro.
Client-side attacks:
Sabe o famoso XSS? Então, ele também pode comprometer o seu website, fazendo com que um atacante crie um Javascript malicioso que capture os cookies do navegador, este é o caso "mais comum" de ataques XSS.
A ideia básica é obter no lado do cliente a informação do cookie, você não pode de fato proteger o usuário de todas as ameaças, por exemplo se o usuário estiver infectado com um malware, estiver utilizando uma extensão maliciosa ou estiver utilizando um navegador modificado "maliciosamente".
Casos mais e mais complexos permitem que o atacante faça o famoso ataque side-channel, veja mais aqui, isto PODERIA permitir a obtenção de tais identificadores de sessão.
Dentro de sua responsabilidade você pode:
Utilize o cookie com o atributo de HttpOnly
e SameSite
, para impedir a leitura do cookie em caso de XSS e que o cookie seja passado para outro website.
Utilize o atributo domain
do cookie para apenas o seu domínio (sem incluir subdomínios!).
Utilize o header de X-XSS-Protection
e Content-Security-Policy
para impedir que um código injetado por XSS se comunique com outro servidor.
Utilize o atributo de Integrity
, no HTML, para verificar se o <script>
carregado dinamicamente não foi alterado por um código malicioso.
Tenha cuidado com: redirecionamentos internos para link externos e filtre todos os dados recebidos dos usuários, para evitar XSS e não abra links usando _blank
.
Predictable Token:
Isto é mais raro, ao menos que faça algum gambiarra. Isto ocorre principalmente por utilizar um gerador aleatório ruim, exemplo /dev/random
ou CSPRNG que é oriundo de um "userspace CSPRNGs" ao invés do Kernel, como por exemplo utilizar o OpenSSL, com o seu MD5 e bugs no Debian Linux, como ocorreu com aplicativo de Android que geravam carteiras de Bitcoin baseados em Userspace random... Particularmente não opte por Userspace random.
O ápice da previsibilidade seria:
Gerar identificadores sequenciais como "1,2,3,4...", isso permite saber qual é o próximo identificador, assim facilitando acessar em outras contas.
Gerar identificadores baseado no próprio e-mail/usuário.
Para corrigir isto gere identificadores aleatórios, CSPRNG:
- Utilize
/dev/urandom
(padrão do PHP 7.1+).
- Utilize longas strings (pelo menos 32 Bytes) para dificultar o chute de uma sessão.
Geral:
Considerações finais, caso priorize a segurança considere também:
- Gerar uma nova sessão (
session_regenerate_id
) para o mesmo usuário já conectado de tempos em tempos (ex. 5 em 5 minutos).
- Limitar o uso da sessão para apenas um IP em especifico (malefício: conexões instáveis vai "deslogar" a todo momento).
- Limitar o uso da sessão para apenas um navegador e geolocalização.
- Limitar a duração de uma sessão em poucos minutos de inatividade.
Se realmente quer segurança acima de tudo, considere também:
- Utilizar websockets ao invés de cookies.
Como um adicional:
- Exija a utilização de 2FA (ex. TOTP) para confirmação ações que podem comprometer a integridade da conta (ex. excluir conta, alterar senha, mudar e-mail, apagar publicação...).
Só para lembrar não mencionei problemas que o seu servidor pode ter em expor o conteúdo das sessões, apenas indiquei problemas que podem expor o identificador da sessão. Por exemplo se estiver compartilhando o mesmo servidor (a maquina) com outras pessoas, ou seja várias maquinas virtuais, todos vão utilizar o mesmo cache da RAM e do CPU possibilitando ataques de side-channel. Em outros casos se o seu servidor tenha sido invadido, por qualquer forma, pode ler os conteúdos dos arquivos da sessão, normalmente localizadas em tmp
. Além disso caso utilize o exec()
ou file()
baseado no input do usuário (e não seja tratado corretamente) pode fazer com que o atacante consiga obter os arquivos das sessões (e seus identificadores).
PHPSESSID
. Se você fizer o login em dois navegadores e trocar o valor desse cookie, já terá acesso a outra conta. No fim, sempre haverá um cookie mesmo trabalhando com session.