Sesiones web + seguridad (Parte I)

Básicamente la seguridad de un sitio web se basa en la administración de la sesión. Cuando un usuarios se conecta a un sitio web seguro, debe presentar las credenciales que confirmen su identidad, usualmente en la forma de usuario/password.

Debido a que el protocolo HTTP es desconectado ( no guarda valores entre página y página ), no hay manera de saber que un usuario particular es quien efectivamente se logueó.

La administración de la sesión le permite al sistema basado en web, crear una sesión, a fin de que el usuario no tenga que loguearse entre cada vez que quiera realizar una nueva acción o desplazarse hacia otra página.

En esencia, la administración de la sesión asegura que el usuario actualmente conectado es quien inicialmente se logueó.

Esta es la parte de los artículos que me gusta:

Pero, pero, pero... por eso mismo, la sesión son el objetivo de los usuarios maliciosos (hackers) ...pues ellos puede ser capaces de obtener acceso a un sitio web sin necesidad de autenticarse. Esto lo veremos después.

A ver, un típico escenario:un usuario logueándose en un servicio en línea. Una vez que el usuario se autentica correctamente, el servidor web presenta a este usuario con un ID de sesión.
Este ID de sesión es cogido por el browser y, es presentado cada vez que se necesite, haciendo de esta manera la navegación web mucho más placentera. Sino imagínate ingresar tu usuario y password por cada página web que quieras acceder.

Ah ya, qué chévere tu explicación, todo muy clarito, sólo una pregunta:
qué diablos es el ID de sesión?
El ID de sesión es simplemente un conjunto de caracteres. Este conjunto de caracteres es usado como identificador.

De esta manera, cada vez que el usuario intenta consultar una página web del sitio seguro, el servidor chequea cuál es el ID de sesión que posee el usuario y según eso, le permite acceder a los recursos restringidos.
A partir de ahora llamaremos al ID de sesión como SID.
Soy corcho... no entiendo nada !!

Según todo lo expuesto, fácilmente deducimos que el SID es de gran valor.

Por ello, los hackers durante años de años, han buscado la manera de evadir este mecanismo de autenticación.

Ahhhhhhhh... ya va tomando forma tu explicación.
Entonces, por administración de la sesión entendemos a todo lo que hagamos por proteger esta SID.

Ya, ya... pero, cómo obtengo el ID de sesión de otros?
Hay una serie de técnicas que los atacantes usan para obtener el ID de sesión de otros.

La técnica más obvia es atacar el servidor.
El servidor a menudo guarda el ID de sesión en algún lugar, pero lo más preocupante es que a veces se guarda en un lugar accesible por los atacantes.

Por ejemplo, PHP guarda sus variables de sesión en el directorio temporal /tmp cuando se trabaja sobre UNIX.
Esto significa que algún usuario sobre el sistema, puede fácilmente obtener el ID de sesión mediante programación.

Esto representa un serio riesgo, especialmente sobre host compartidos, puesto que puede haber muchos usuarios activos en un momento dado.
Este tema es bien manejado por quienes saben, pero vale el ejemplo.

Otra técnica es atacar al cliente.
El Internet Explorer de microsoft por ejemplo, tiene numerosos desperfectos, que permiten que una página web lea las cookies de otro stio web al cual no pertenece.

Sólo el site que ha creado la cookie debe tener acceso a ella.
Imagínate que accediste desde una cabina de internet pública a un sitio web seguro y se crearon las cookies respectivas.

Tenlo por seguro que apenas te retires de la cabina, habrá una veintena de sabandijas tratando de recuperar la información de tus cookies persistentes.

La continuamos en el próximo artículo.