V3.3.1 Session Termination

Requirement:#

Verify that logout and expiration invalidate the session token, such that the back button or a downstream relying party does not resume an authenticated session, including across relying parties. (C6)

Explanation:#

Идентификаторы сеанса должны считаться ненадежными, как и любой другой пользовательский ввод, обрабатываемый веб-приложением, и они должны быть тщательно проверены и проверены. В зависимости от используемого механизма управления сеансом идентификатор сеанса будет получен в параметре GET или POST, в URL-адресе или в заголовке HTTP (например, файлы cookie). Если веб-приложения не проверяют и не отфильтровывают недопустимые значения идентификатора сеанса перед их обработкой, они потенциально могут использоваться для использования других веб-уязвимостей, таких как внедрение SQL, если идентификаторы сеансов хранятся в реляционной базе данных, или постоянный XSS, если идентификаторы сеансов сохраняются и впоследствии отражаются веб-приложением.

Remediation:#

Чтобы убедиться, что токены сеанса недействительны должным образом, следует реализовать тайм-аут сеанса, а также функцию выхода из системы, которая делает недействительным токен сеанса. Кроме того, токен сеанса должен храниться на стороне сервера, чтобы его можно было легко аннулировать, и должен быть связан с уникальным идентификатором сеанса, например идентификатором сеанса.

Вот пример того, как реализовать тайм-аут сеанса и выход из системы в экспресс-приложении Node.js:

const express = require('express');
const session = require('express-session');

const app = express();

// Используем express-session для управления сессиями
app.use(session({
    secret: 'your-secret-key',
    resave: false,
    saveUninitialized: true,
    cookie: { secure: true } // Установите secure: true, если используете HTTPS
}));

// Функция middleware для проверки аутентификации
const authenticate = (req, res, next) => {
    if (req.session && req.session.userId) {
        return next();
    } else {
        return res.status(401).send('Unauthorized');
    }
};

// Роут для входа в систему
app.post('/login', (req, res) => {
    // Предположим, что у вас есть логика аутентификации и проверки пароля
    // После успешной аутентификации сохраняем идентификатор пользователя в сессии
    req.session.userId = 'unique-user-id';
    res.send('Logged in successfully');
});

// Роут для выхода из системы
app.post('/logout', (req, res) => {
    // Уничтожаем сессию, что эквивалентно выходу из системы
    req.session.destroy((err) => {
        if (err) {
            console.error(err);
            res.status(500).send('Internal Server Error');
        } else {
            res.send('Logged out successfully');
        }
    });
});

// Пример защищенного роута, который требует аутентификации
app.get('/secure', authenticate, (req, res) => {
    res.send('This is a secure route');
});

// Настройка сервера для прослушивания порта 3000
app.listen(3000, () => {
    console.log('Server is running on port 3000');
});

Additional:#

https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html

https://htmlacademy.ru/blog/php/sessions-cookies