Выбор ответа Middle Аутентификация и сессии обновлено
Фиксация сессии
Вопрос
Как предотвратить фиксацию сессии (session fixation)?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Выдавать новый id сессии при входе и смене привилегий. При фиксации атакующий заранее навязывает жертве известный ему идентификатор, и после её входа сессия становится аутентифицированной.
Варианты ответа
- Хранить идентификатор сессии в localStorage, а не в cookie
- Делать идентификатор сессии длиннее и случайнее, от 128 бит
- Выдавать новый id сессии при входе и смене привилегийправильный ответ
- Включить HTTPS и флаг Secure, чтобы id нельзя было перехватить
Разбор
При фиксации атакующий заранее навязывает жертве известный ему идентификатор, и после её входа сессия становится аутентифицированной. Перевыпуск id при входе разрывает эту связь. Длина и HTTPS важны, но не решают эту проблему, а localStorage её не касается.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.