Session security
Secure lifecycle за session identifiers, cookies и tokens.
Какво е
Secure lifecycle за session identifiers, cookies и tokens.
Как работи
Secure/HttpOnly/SameSite cookies, rotation, expiration, revocation и binding намаляват reuse/hijacking.
Пример: паролата вече не е нужна
Attacker краде session cookie след успешен login. От този момент password reset може да не е достатъчен, ако активната session не бъде revoked.
Затова incident response трябва да мисли за:
- password;
- MFA registrations;
- active sessions;
- refresh tokens;
- OAuth grants;
- API keys.
Как да проверим
Тествайте „logout everywhere“ и emergency token revocation. Колко време остава откраднат refresh token валиден? Отговорът не трябва да бъде откриван по време на истински incident.
Практическа имплементация
- Rotate after auth/privilege change.
- Short-lived access tokens.
- Refresh-token rotation.
- Revocation on risk events.
- HttpOnly/Secure/SameSite.
Какво НЕ решава
Infostealer с достъп до browser profile може да краде валидни sessions.
Предпазва най-силно от
- Access-token theft · Пароли, идентичност, MFA и account takeover
- API Replay Attack · API и business-logic атаки
- Cross-Site Request Forgery (CSRF) · Web приложения и браузърни атаки
- JSON Web Token (JWT) Misuse/Attack · Web приложения и браузърни атаки
- Session fixation · Пароли, идентичност, MFA и account takeover
- Session hijacking · Пароли, идентичност, MFA и account takeover
- Session-cookie theft / Pass-the-Cookie · Пароли, идентичност, MFA и account takeover