Broken Session Management
La gestion de sessions défaillante désigne des défauts dans la génération, le stockage ou l'invalidation des jetons de session, laissant des attaquants détourner ou forger des sessions.
Objectif
Comprendre le détournement causé par des défauts du cycle de vie des sessions et leurs défenses ; un sujet central de la sécurité web.
Mécanisme
Les défauts incluent des IDs de session prévisibles, pas de rotation en cas de fixation, des sessions sans expiration, un stockage de session non sécurisé et des cookies de session sans Secure/SameSite sous HTTPS. Défenses : IDs aléatoires, rotation à la connexion, délais d'expiration, attributs de cookie sécurisés.
Cas d’usage
- Défense contre le détournement de session
- Audit de sécurité des sessions
- Sécurité des cookies