Mycket kan hända mellan inloggning och utloggning. Två olika maskiner kommunicerar i ett nätverk och delar några gemensamma kommunikationsparametrar. Detta görs genom att skicka datapaket mellan dessa två maskiner; denna process kallas en trevägshandskakning. Vissa angripare letar efter sessioner som de kan få åtkomst till och utnyttja användarnas data från dessa sessioner. Användare måste se till att de loggar in i en säker miljö och använder brandväggar för webbapplikationer för att upptäcka avvikelser i trafiken. Dessa är primära åtgärder. För att åtgärda allvarligare problem behöver vi känna till sessionskapning.
Sessionskapning (även känd som Cookie-kapning eller Cookie-sidejacking) är en av de mest sofistikerade man-in-the-middle-attackerna, som ger angriparen åtkomst till offrets webbsessioner. Det hänvisar också till angriparens möjlighet att ta kontroll över en del av användarens session. Denna process skulle ge dem tillgång till känsliga uppgifter såsom personliga och finansiella uppgifter (PII och PCI) som kan skyddas med hjälp av ett lösenord eller en lösenfras.
Sessionskapning gör det möjligt för en angripare att undvika alla typer av skydd från lösenord genom att autentisera den befintliga anslutningen. Anta att en angripare sniffar Användare A:s nätverk; denna angripare kommer att veta vilka sessioner som är öppna i användarens nätverkshanteringssystem. Denna process sker om angriparen känner till adressen, anta 14.0.0.1, och användarens nyckelsystem 14.0.0.100. Sedan skickar denna angripare paket till nätverkshanteringssystemet (NMS) på denna adress, 14.0.0.1. Denna process gör att användaren bryter sin anslutning och fortsätter att skicka paket på 14.0.0.100 med den förfalskade adressen 14.0.0.1. Hela detta scenario innebär att Användare A:s session har kapats.
Sessionskapning utförs vanligtvis mot användare som är medlemmar i stora nätverk som innehåller ett stort antal öppna sessioner. Nätverksprotokoll som FTP, Telnet och inloggning är angriparnas favoriter eftersom de har en sessionsorienterad karaktär hos sina anslutningar och längden på deras kommunikationssessioner.
Populära exempel på sessionskapning
Protokoll för hypertextöverföring (HTTP) är ett tillståndslöst protokoll med sessionscookies kopplade till dess header. När en användare loggar in på en webbplats kommer konceptet HTTP in i bilden. På så sätt identifierar servern användarens webbläsare.
På senare tid har sessionskapning överskuggats av spionprogram, rootkits, botnätverk och denial of service-attacker, men det är fortfarande en vanligt förekommande cyberattack.
Det finns olika exploateringar och verktyg som angripare kan använda för att ta sig in. År 2017 upptäckte en säkerhetsforskare ett problem i GitLab. Där en användares sessionstoken fanns direkt i URL:en. Vid ytterligare granskning fann man att GitLabs sessionstoken aldrig löpte ut, vilket innebär att en angripare kunde använda den utan att den löpte ut.
Ett annat exempel är CookieCadger, ett verktyg med öppen källkod som kan hitta läckande information från webbplatser och webbapplikationer. Det kan övervaka osäkra Wi-Fi och trådbundna Ethernet-nätverk för att se sessionscookies.
På liknande sätt var FireSheep ett webbläsartillägg som släpptes av Firefox 2010. Detta tillägg öppnade en sårbarhet för personer som använder webbläsaren på offentliga nätverk.
Vad gör sessionskapning så farligt?
Riskerna som uppstår vid sessionskapning kan inte elimineras med olika programuppdateringar, flerfaktorsautentisering eller komplexa lösenord. Denna attack utnyttjar alla tre sidor av CIA-triaden, där CIA-triaden är en representativ modell för säkerhetskoncept – konfidentialitet, integritet och tillgänglighet. När en attack lyckas får angriparen nu möjligheten att läsa och modifiera data, vilket bryter mot CIA-modellen.
Typer av sessionskapningsmetoder
Det finns olika typer av sessionskapningsmetoder, och att veta hur de fungerar hjälper till att identifiera och vara medveten om dem.
De vanligaste är –
- Cross-Site Scripting (XSS)
Kaparen hittar svaga punkter på målservern och utnyttjar detta genom att infoga skript på webbsidan. Sidan laddar sedan koden och tror att allt ser legitimt ut på klientsidan. När koden har laddats avslöjar webbläsaren användarens sessions-ID (sessionsnyckel) för kaparen.
- Session Side-jacking
Detta, även känt som Session Sniffing, är en mer aktiv typ av attack. Men för den här typen behöver kaparen ha tillgång till användarens nätverkstrafik. För att uppnå det använder kaparen eller angriparen paketsniffningstekniker som Kismet eller Wireshark för att övervaka och stjäla sessionscookies efter att ha sökt igenom användarens session.
- Sessionsfixering
I den här typen av attack skapar angriparna ett sessions-ID, och användaren använder detta sessions-ID efter att ha blivit lurad. Sessions-ID:t kan anges via URL:er eller formulär via e-post, vilket leder till angriparens webbplats. När användaren loggar in får kaparen tillgång till användarens data.
- brute force
Detta fungerar främst om webbplatsen eller målanvändaren använder förutsägbara sessions-ID:n, där angriparen måste gissa dem och utföra attacken. Ett annat scenario är om kaparen får tillgång till en lista med sessions-ID:n från en webbplats med svaga säkerhetsåtgärder.
- Mannen i webbläsaren
Detta kallas även för Man-in-the-Middle-attacker eller Malware. Här infekterar angriparen användarens dator med skadlig kod och virus, vilket gör att de kan kapa en session. Det är mycket svårt att upptäcka eventuella problem med webbapplikationen eller webbplatsens säkerhet i den här typen av attack.
Hur fungerar sessionskapning?
Det finns flera tekniker eller sätt att kapa en session, såsom sessionsniffning, cross-site scripting, förutsägbart sessionstoken-ID, etc. Men det grundläggande scenariot förblir detsamma –
Det händer när en kapare får tillgång till en användares session utan auktorisering genom att stjäla deras sessionscookie och förvirra webbläsaren att tro att angriparen är en faktisk användare.
Detta steg sker i två huvudsteg, till exempel när användaren öppnar en webbapplikation eller webbplats, som installerar en tillfällig cookie, även känd som en sessionscookie. Dessa sessionscookies hjälper till att hålla användaren autentiserad och spåra deras aktivitet. Men de kommer att finnas kvar i webbläsaren tills användarens session automatiskt löper ut eller tills de manuellt loggar ut. Dessa kapare kan cyberattackera med olika metoder för att stjäla sessions-ID:n (som nämnts ovan). Så det grundläggande flödet är att hitta sessions-ID:t från cookien och använda informationen i den för att kapa den ursprungliga användarens session. Efter att ha fått sessionen kan dessa kapare dra nytta av de stulna sessions-ID:na. Beroende på deras motiv kan de använda den fortsatta sessionen och extrahera personuppgifter eller utföra olagliga aktiviteter.
Hur skyddar man sig mot sessionskapning?
Sessionskapning är ett av de största cybersäkerhetshoten, men det finns flera sätt en användare kan skydda sig på. Några steg är:
- Undvik offentlig Wi-Fi
Användare bör aldrig använda offentliga Wi-Fi-nätverk, särskilt inte när de hanterar viktiga onlinetransaktioner som bank, shopping, betalningar etc. En angripare i närheten kan använda paketsniffning för att hämta en användares sessionscookies.
- Förlita dig på webbramverk för hantering av sessionscookies
Ju längre och mer slumpmässiga sessionscookies är, desto svårare är de att gissa eller förutsäga. Det bästa sättet är att använda ett webbramverk för att generera och hantera ett system själva.
- Ändra sessionsnyckeln efter autentisering
Den bästa skyddsmetoden är att ändra sessionsnyckeln omedelbart efter att inloggningsprocessen är klar. På så sätt, även efter att ha känt till den ursprungliga nyckeln, kommer angriparen inte att ha någon aning om vilken nyckel användaren kommer att använda för testsessionen.
- Intrångsdetekteringssystem (IDS) och intrångsskyddssystem (IPS)
Dessa jämför webbplatstrafik med databasen med många kända attacksignaturer. Om en matchning hittas blockerar de trafiken och varnar ägaren. Dessa är dyra men effektiva metoder.
- Använd HTTPS
Detta är för att säkerställa SSL eller TLS typer av kryptering på all sessionstrafik. Detta steg hjälper till att hindra angriparen från att avlyssna sessions-ID:t, även efter att ha observerat deras nätverkstrafik. En ännu bättre metod är att använda HSTS (HTTP Strict Transport Security).
- Att använda cybersäkerhetsverktyg
Ett sådant cybersäkerhetsverktyg är DDoS-skyddsprogramvara och bedrägeriteknik för att noggrant logga in och ut från varje session.
Slutsats
Det finns alltid en risk att bli offer för sessionskapning, men att följa ovanstående steg och vara försiktig med symptomen kan hjälpa. Det pågår mycket forskning om att lösa denna sårbarhet, men det bästa förebyggandet hittills är att användarna är medvetna om att deras sessions-ID inte kan bli stulet.
