Comment puis-je protéger mes utilisateurs contre le piratage de session?

Question

Comment protéger mes utilisateurs contre le piratage de session?

Answer 1

Il y a trois sections dans le Owasp Top 10 for 2010 que vous devriez lire.

1: (!!) A3: "L'authentification et la gestion Cassé session." (!!)

2: "Cross Site Request Forgery" (XSRF)

3: "Cross Site Scripting" (XSS)

Answer 2

De créateurs de StackOverflow blog
Preventing CSRF and XSRF Attacks

Trouvé par googler « Prévenir CSRF »
http://www.google.com/search?client=safari&rls=en&q=prevent+csrf&ie=UTF-8&oe=UTF-8

Answer 3

Une façon que je connaisse est de vérifier la cohérence dans l'adresse IP de l'utilisateur. J'entends par là que l'adresse IP actuelle correspond à l'adresse IP utilisée la dernière fois au cours de la même session. Cela n'empêcherait cependant pas le piratage de sessions par quelqu'un utilisant la même adresse IP.

Answer 4

envisager l'utilisation d'un sel secret, connu seulement pour le client et le serveur qui est établi à l'ouverture de session (heureusement une ouverture de session de SSL). Ensuite, le serveur peut fournir un compte avec chaque réponse et le client peut fournir un hachage de (compte + sel secret) avec la requête suivante. Un pirate de l'air potentiel n'a pas accès au sel secret et ne peut pas générer le prochain hachage. Même une connexion non-SSL peut probablement établir un sel secret si la connexion est accomplie en utilisant des mots de passe hachés à usage unique.