V3.7.1 Defenses Against Session Management Exploits

Requirement:

Verify the application ensures a full, valid login session or requires re-authentication or secondary verification before allowing any sensitive transactions or account modifications.

Explanation:

Управление сессиями является одним из важнейших аспектов безопасности веб-приложений, поскольку включает в себя работу с пользовательскими сессиями и поддержание аутентификации пользователей при различных запросах. Если управление сессиями реализовано небезопасно, это может привести к различным атакам, таким как  session fixation, session hijacking, and session replay.

Данное требование направлено на обеспечение адекватной защиты приложения от таких атак. Ниже перечислены некоторые ключевые аспекты, охватываемые этим требованием:

Strong Session ID Generation: Приложение должно генерировать идентификаторы сессий (ID) с помощью сильного криптографического генератора случайных чисел. Это гарантирует, что идентификаторы сессий непредсказуемы и не могут быть легко угаданы или подделаны злоумышленниками.

Secure Transmission of Session IDs: В приложении должны быть реализованы меры по предотвращению атак session fixation. К ним относится генерация нового идентификатора сессии для каждого пользователя при успешной аутентификации и аннулирование всех существующих идентификаторов сессий, которые могли быть установлены до аутентификации.

Protection Against Session Fixation: В приложении должны быть реализованы меры по предотвращению атак session fixation. Это включает в себя генерацию нового идентификатора сессии для каждого пользователя при успешной аутентификации и аннулирование всех существующих идентификаторов сессии, которые могли быть установлены до аутентификации.

Session Expiration and Inactivity Timeout: Сессии должны иметь время истечения срока действия и автоматически завершаться после периода бездействия. Это предотвращает риск взлома злоумышленниками сессий с длительным сроком действия.

Single-Use Tokens: Для критических операций или чувствительных транзакций в приложении должны использоваться одноразовые токены или nonces для предотвращения атак session replay. После использования такие токены должны быть аннулированы.

Protection Against Cross-Site Request Forgery (CSRF): В приложении должны быть реализованы механизмы защиты от CSRF, например, использование CSRF-токенов, чтобы гарантировать, что только легитимные запросы от авторизованных пользователей могут изменять данные сессии.

Secure Logout: Приложение должно предоставлять механизм безопасного выхода из системы, который аннулирует сессию пользователя и очищает все данные, связанные с сессией, на стороне клиента.

Remediation:

Чтобы соответствовать требованию выполните следующие рекомендации:

Strong Session ID Generation: Убедитесь, что приложение генерирует идентификаторы сессий с помощью сильного криптографического генератора случайных чисел, например, с помощью библиотеки или функции, специально предназначенной для этой цели. Избегайте использования предсказуемой информации, например usernames  или timestamps для генерации session IDs.

Secure Transmission of Session IDs: Обеспечьте использование протокола HTTPS для всех коммуникаций, особенно при передаче session IDs или любой конфиденциальной информации. Этого можно добиться, настроив веб-сервер и приложение на использование SSL/TLS.

Protection Against Session Fixation:  Реализуйте механизм, генерирующий новый session ID для каждого пользователя при успешной аутентификации. Существующие session ID, которые могли быть установлены до аутентификации, следует аннулировать. Рассмотрите возможность использования библиотеки управления сессиями или фреймворка, который безопасно обрабатывает сессии.

Session Expiration and Inactivity Timeout: Длительные сессии увеличивают возможности злоумышленников к проведению атаки session hijacking.  Внедрите таймаут бездействия, который автоматически выводит пользователя из системы после определенного периода бездействия.****

Single-Use Tokens: Для критически важных операций или конфиденциальных транзакций используйте разовые токены или nonces для предотвращения атак session replay. После использования токенов их следует аннулировать.

Protection Against Cross-Site Request Forgery (CSRF): Реализуйте механизмы защиты от CSRF, например использование CSRF-токенов, чтобы гарантировать, что только легитимные запросы от авторизованных пользователей могут изменять данные сессии. При возможности используйте фреймворки, обеспечивающие встроенную защиту от CSRF.

Secure Logout: Убедитесь, что функциональность выхода из системы безопасна. Выход из системы должен аннулировать сессию пользователя как на стороне сервера, так и на стороне клиента, гарантируя, что данные сессии пользователя не могут быть повторно использованы после выхода из системы.

Regular Security Audits and Testing: Регулярно проводите аудит безопасности и оценку уязвимостей для выявления и устранения возможных уязвимостей управления сессиями. Проводите тестирование на проникновение для проверки эффективности средств управления сессиями и выявления уязвимостей.

Keep Up-to-Date with Security Best Practices: Оставайтесь в курсе последних лучших практик и рекомендаций по безопасности управления сессиями. Поддерживайте все программные компоненты и библиотеки в актуальном состоянии, чтобы обеспечить применение всех исправлений и обновлений безопасности.

Additional: