Broken Session Management
セッション管理の不備とは、セッショントークンの生成、保存、無効化のいずれかの段階に欠陥があり、攻撃者にセッションの乗っ取りや偽造を許す脆弱性である。
目的
セッションライフサイクルの欠陥が原因のハイジャックとその防御策を理解するためのものであり、Web セキュリティの中核トピックである。
メカニズム
欠陥には、予測可能なセッション ID、セッションフィクセーション発生時のローテーション不在、無期限のセッション、安全でないセッション保存、HTTPS 下で Secure/SameSite を持たないセッション Cookie が含まれる。防御策は、ランダムな ID、ログイン時のローテーション、タイムアウト、安全な Cookie 属性である。
ユースケース
- セッションハイジャックへの防御
- セッションのセキュリティ監査
- Cookie のセキュリティ