4

Estive lendo um pouco sobre segurança com sessões (tanto no ASP.NET, como em PHP), e li em alguns lugares que sessões, principalmente em PHP, podem ser facilmente roubadas (com facilidade ainda maior caso o sistema esteja sendo utilizado em rede local).

Visto que é prática comum (corrija-me se estiver errado) definir o acesso de usuários na sessão, quando fazem login no sistema, como posso tornar esse acesso mais seguro? Criptografar a sessão é válido? É uma boa prática de segurança manter dados diversos na sessão?

1
  • A session precisa de um identificador, quando não é passado por parâmetro, ele usa via cookie chamado PHPSESSID. Se você fizer o login em dois navegadores e trocar o valor desse cookie, já terá acesso a outra conta. No fim, sempre haverá um cookie mesmo trabalhando com session. 16/03/2017 às 13:17

2 Respostas 2

5

A sessão (padrão do PHP) é baseada na seguinte maneira:

  • O cliente possui um identificador baseado em cookies (ou parâmetro de URL).
  • O servidor possui um arquivo na pasta temporária, este arquivo possui "o conteúdo" da sessão.

Também irei dizer como mitigar isto, caso seja aplicável.

Primeiro entenda que o seu servidor gera um cookie contendo um identificador da sessão (*padrão o nome do cookie é PHPSESSID) e todas as requisições posteriores, dentro do website, vão enviar tal identificador.


Vulnerabilidades comuns:

Packet Sniffing/MITM:

Um "atacante" vai fazer um MITM (man-in-the-middle) para obter este cookie, ele pode utilizar o DNS Spoofing (DNS Poisoning...), Proxy Attacks, ARP Spoofing...

O objetivo é o mesmo, no MITM é obter a sessão do usuário interceptando diretamente a conexão e "descriptografando" a conexão, se necessário e possível. O MITM é um tipo de Sniffing.

Modo de corrigir o problema:

  • Utilize apenas TLS 1.2 (e 1.3) em todas as comunicações (não use SSLv2!).

  • Utilize apenas cookies e nunca passe este valor por nenhum outro meio.

  • Utilize o header de HPKP (HTTP Public Key Pinning) assim o navegador apenas confiará no seu certificado SSL.

  • Utilize os cookies com as flags de Secure.

  • Utilize os cookies apenas onde precisa, arquivos estáticos passe para um sub-domínio (css.site.com).

  • Tenha cuidado com: manter a chave privada do certificado SSL em um local seguro.

Client-side attacks:

Sabe o famoso XSS? Então, ele também pode comprometer o seu website, fazendo com que um atacante crie um Javascript malicioso que capture os cookies do navegador, este é o caso "mais comum" de ataques XSS.

A ideia básica é obter no lado do cliente a informação do cookie, você não pode de fato proteger o usuário de todas as ameaças, por exemplo se o usuário estiver infectado com um malware, estiver utilizando uma extensão maliciosa ou estiver utilizando um navegador modificado "maliciosamente".

Casos mais e mais complexos permitem que o atacante faça o famoso ataque side-channel, veja mais aqui, isto PODERIA permitir a obtenção de tais identificadores de sessão.

Dentro de sua responsabilidade você pode:

  • Utilize o cookie com o atributo de HttpOnly e SameSite, para impedir a leitura do cookie em caso de XSS e que o cookie seja passado para outro website.

  • Utilize o atributo domain do cookie para apenas o seu domínio (sem incluir subdomínios!).

  • Utilize o header de X-XSS-Protection e Content-Security-Policy para impedir que um código injetado por XSS se comunique com outro servidor.

  • Utilize o atributo de Integrity, no HTML, para verificar se o <script> carregado dinamicamente não foi alterado por um código malicioso.

  • Tenha cuidado com: redirecionamentos internos para link externos e filtre todos os dados recebidos dos usuários, para evitar XSS e não abra links usando _blank.

Predictable Token:

Isto é mais raro, ao menos que faça algum gambiarra. Isto ocorre principalmente por utilizar um gerador aleatório ruim, exemplo /dev/random ou CSPRNG que é oriundo de um "userspace CSPRNGs" ao invés do Kernel, como por exemplo utilizar o OpenSSL, com o seu MD5 e bugs no Debian Linux, como ocorreu com aplicativo de Android que geravam carteiras de Bitcoin baseados em Userspace random... Particularmente não opte por Userspace random.

O ápice da previsibilidade seria:

  • Gerar identificadores sequenciais como "1,2,3,4...", isso permite saber qual é o próximo identificador, assim facilitando acessar em outras contas.

  • Gerar identificadores baseado no próprio e-mail/usuário.

Para corrigir isto gere identificadores aleatórios, CSPRNG:

  • Utilize /dev/urandom (padrão do PHP 7.1+).
  • Utilize longas strings (pelo menos 32 Bytes) para dificultar o chute de uma sessão.

Geral:

Considerações finais, caso priorize a segurança considere também:

  • Gerar uma nova sessão (session_regenerate_id) para o mesmo usuário já conectado de tempos em tempos (ex. 5 em 5 minutos).
  • Limitar o uso da sessão para apenas um IP em especifico (malefício: conexões instáveis vai "deslogar" a todo momento).
  • Limitar o uso da sessão para apenas um navegador e geolocalização.
  • Limitar a duração de uma sessão em poucos minutos de inatividade.

Se realmente quer segurança acima de tudo, considere também:

  • Utilizar websockets ao invés de cookies.

Como um adicional:

  • Exija a utilização de 2FA (ex. TOTP) para confirmação ações que podem comprometer a integridade da conta (ex. excluir conta, alterar senha, mudar e-mail, apagar publicação...).

Só para lembrar não mencionei problemas que o seu servidor pode ter em expor o conteúdo das sessões, apenas indiquei problemas que podem expor o identificador da sessão. Por exemplo se estiver compartilhando o mesmo servidor (a maquina) com outras pessoas, ou seja várias maquinas virtuais, todos vão utilizar o mesmo cache da RAM e do CPU possibilitando ataques de side-channel. Em outros casos se o seu servidor tenha sido invadido, por qualquer forma, pode ler os conteúdos dos arquivos da sessão, normalmente localizadas em tmp. Além disso caso utilize o exec() ou file() baseado no input do usuário (e não seja tratado corretamente) pode fazer com que o atacante consiga obter os arquivos das sessões (e seus identificadores).

1

Não tem uma solução para autenticação que não utilize cookies. A Session do PHP é um cookie no navegador que fica guardado no PHPSESSID. Aí o PHP cria uma estrutura de dados correspondendo o valor da sessão com os dados que você guardou nela. Um Session hijack é quando você copia o valor do PHPSESSID de um navegador para outro.

Só que, para roubar a session, normalmente usam um ataque man in the middle, onde capturam a requisição do navegador antes de seguir para o seu servidor e, por consequência, o cookie vem junto. A única solução para resolver isso, é usando HTTPS na comunicação com o servidor, que mantém a requisição criptografada.

Não adiantaria criptografar a session, por que fica lá no servidor mesmo, mas também é importante não guardar dados sensíveis (senhas, informações pessoais) por segurança.

3
  • Somente HTTPS não protege de tudo.
    – Inkeliz
    17/03/2017 às 23:39
  • Claro, mas ode dizer o que faltaria nesse caso?
    – Daniel
    18/03/2017 às 20:48
  • 1
    Uma coisa que falta é utilizar a flag Secure e HTTPOnly no cookie para impedir obter o cookie por javascript, por exemplo, isto é o minimo a ser feito, além do HTTPS. Se isto não estiver sendo utilizado, mesmo em HTTPS, seria possível injetar um JS e coletar o cookie por document.cookie, isto pode ocorrer por XSS e se não utilizar o Content-Security-Policy permite enviar tal informação para um servidor externo. Tudo isso usando HTTPS.
    – Inkeliz
    18/03/2017 às 20:54

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .