flawopen.com/Vulnerabilities/Fixação de sessão e proteção de cookies

Fixação de sessão: troque o ID no login (CWE-384)

Conceitos centrais e termos do subsistema

Fixação de sessão

Falha de gerenciamento de sessão em que a aplicação aceita um identificador conhecido pelo atacante e o mantém quando a vítima se autentica.

Rotação do ID de sessão

Emita um identificador novo e imprevisível quando a autenticação elevar os privilégios da sessão. Preserve somente os dados de sessão que a aplicação pretende manter.

Atributos de cookie

Secure restringe o envio do cookie a HTTPS; HttpOnly impede acesso ao cookie por JavaScript; SameSite controla parte do envio em contextos cross-site. São proteções distintas e não substituem a rotação do ID.

Prefixo __Host-

Em navegadores compatíveis, exige cookie Secure criado por HTTPS, com Path=/ e sem atributo Domain. Ajuda a impedir que um subdomínio irmão defina um cookie para o domínio pai com o mesmo nome.

Fluxo de ataque passo a passo

Mecanismo e causa raiz

A fixação de sessão exige tanto a influência do atacante sobre o identificador usado pela vítima quanto a falha da aplicação em substituí-lo após o login. Atributos de cookie são defesa em profundidade, mas nenhum substitui a rotação: HttpOnly limita a leitura por scripts, Secure restringe o transporte a HTTPS, SameSite reduz alguns envios cross-site e __Host- limita o escopo do cookie em navegadores compatíveis.

# VULNERABLE: custom session code keeps the pre-authentication ID.
def login_view(request):
    user = authenticate(request, request.POST["username"],
                        request.POST["password"])
    if user is not None:
        # BUG: privilege changes, but the session ID does not.
        request.session["user_id"] = user.pk
        request.session["authenticated"] = True
        return redirect("/account/")
    return redirect("/login/")

# HARDENED: Django login() rotates the session key on authentication.
from django.contrib.auth import authenticate, login

def login_view(request):
    user = authenticate(request, request.POST["username"],
                        request.POST["password"])
    if user is not None:
        # Uses Django's supported authentication/session integration.
        login(request, user)
        return redirect("/account/")
    return redirect("/login/")

# settings.py: use HTTPS, host-only scope, and a deliberate SameSite policy.
SESSION_COOKIE_NAME = "__Host-sessionid"
SESSION_COOKIE_SECURE = True
SESSION_COOKIE_HTTPONLY = True
SESSION_COOKIE_SAMESITE = "Lax"
SESSION_COOKIE_PATH = "/"
SESSION_COOKIE_DOMAIN = None

Sequência de ataque e exemplo conceitual

• 1Pré-condição: Uma falha ou funcionalidade separada permite que o atacante influencie o ID que o navegador da vítima enviará.
• 2ID conhecido: O atacante consegue reconhecer ou reutilizar o mesmo ID de sessão anônimo.
• 3Autenticação: A vítima entra na conta enquanto o navegador continua enviando o ID conhecido.
• 4Sem rotação: A aplicação promove a sessão existente em vez de substituir seu identificador.
• 5Impacto condicional: O atacante só acessa a sessão autenticada enquanto o ID conhecido continuar válido e utilizável.

Regras de prevenção e proteção para engenharia

• ✓Troque o ID ao elevar privilégios: Gere um ID imprevisível no login e em outras elevações de privilégio; invalide o ID anterior conforme o comportamento documentado do framework.
• ✓Use APIs de autenticação do framework: Prefira a integração oficial de login e sessão (no Django, django.contrib.auth.login()) a inserir manualmente a identidade na sessão.
• ✓Rejeite IDs controlados pelo atacante: Não aceite IDs de sessão em URLs. Impeça injeção de cookies por subdomínios irmãos e teste qualquer lógica personalizada de sessão/cookie.
• ✓Configure atributos para suas funções reais: Use Secure e HttpOnly; considere o prefixo __Host- com Path=/ e sem Domain. Escolha SameSite=Lax ou Strict conforme os fluxos legítimos de login cross-site; SameSite não substitui tokens CSRF quando necessários.
• ✓Teste a transição: Em um teste automatizado, registre o ID anônimo, autentique, confirme que o ID mudou e verifique que o ID antigo não acessa a sessão autenticada.