Broken Session Management
Broken Session Management bezeichnet Mängel bei Erzeugung, Speicherung oder Invalidierung von Session-Tokens, die Angreifern erlauben, Sessions zu übernehmen oder zu fälschen.
Zweck
Die durch Schwächen im Session-Lebenszyklus verursachte Übernahme und ihre Abwehr verstehen; ein Kernthema der Websicherheit.
Mechanismus
Zu den Schwächen zählen vorhersagbare Session-IDs, fehlende Rotation bei Session Fixation, nicht ablaufende Sessions, unsichere Session-Speicherung und Session-Cookies ohne Secure/SameSite unter HTTPS. Abwehr: zufällige IDs, Rotation bei Login, Timeouts, sichere Cookie-Attribute.
Anwendungsfälle
- Schutz vor Session-Hijacking
- Session-Sicherheitsaudit
- Cookie-Sicherheit