secuestro de sesión

En informática , el secuestro de sesión , también conocido como secuestro de cookies , consiste en la explotación de una sesión informática válida —a veces denominada clave de sesión— para obtener acceso no autorizado a información o servicios en un sistema informático. En particular, se utiliza para referirse al robo de una cookie mágica utilizada para autenticar a un usuario en un servidor remoto. Tiene especial relevancia para los desarrolladores web, ya que las cookies HTTP utilizadas para mantener una sesión en muchos sitios web pueden ser robadas fácilmente por un atacante que utilice un ordenador intermediario o que tenga acceso a las cookies guardadas en el ordenador de la víctima (véase Robo de cookies HTTP ). Tras robar con éxito las cookies de sesión adecuadas, un adversario podría utilizar la técnica Pass the Cookie para realizar el secuestro de sesión. El secuestro de cookies se utiliza habitualmente contra la autenticación de clientes en internet. Los navegadores web modernos utilizan mecanismos de protección de cookies para proteger la web de los ataques. ^{[ 1 ]}

Un método popular consiste en utilizar paquetes IP con enrutamiento de origen . Esto permite que un atacante en el punto B de la red participe en una conversación entre A y C , haciendo que los paquetes IP pasen por la máquina de B.

Si el enrutamiento de origen está desactivado, el atacante puede usar el secuestro "ciego", adivinando las respuestas de las dos máquinas. De esta forma, el atacante puede enviar un comando, pero nunca verá la respuesta. Sin embargo, un comando común sería establecer una contraseña que permita el acceso desde cualquier otro lugar de la red.

Un atacante también puede interponerse entre A y C utilizando un programa espía para observar la conversación. Esto se conoce como un " ataque de intermediario ".

Las versiones 0.8 y 0.9 del protocolo HTTP carecían de cookies y otras funciones necesarias para el secuestro de sesión. La versión 0.9beta de Mosaic Netscape, lanzada el 13 de octubre de 1994, sí admitía cookies.

Las primeras versiones de HTTP 1.0 presentaban algunas vulnerabilidades de seguridad relacionadas con el secuestro de sesiones, pero eran difíciles de explotar debido a las peculiaridades de la mayoría de los primeros servidores y navegadores HTTP 1.0. Dado que HTTP 1.0 se ha designado como alternativa a HTTP 1.1 desde principios de la década de 2000 —y que los servidores HTTP 1.0 son esencialmente servidores HTTP 1.1—, el problema del secuestro de sesiones se ha convertido en un riesgo de seguridad prácticamente permanente. ^{[ 2 ]}

La introducción de las supercookies y otras funcionalidades con la versión modernizada de HTTP 1.1 ha permitido que el problema del secuestro de navegadores se convierta en un problema de seguridad constante. La estandarización de los servidores web y las máquinas de estados de los navegadores ha contribuido a este problema de seguridad persistente.

Existen cuatro métodos principales que se utilizan para perpetrar un secuestro de sesión. Estos son:

• La fijación de sesión consiste en que el atacante establece el ID de sesión de un usuario a uno que conoce, por ejemplo, enviándole un correo electrónico con un enlace que contiene un ID de sesión específico. El atacante solo tiene que esperar a que el usuario inicie sesión.
• El secuestro del lado de la sesión , donde el atacante utiliza el análisis de paquetes para leer el tráfico de red entre dos partes para robar la cookie de sesión . Muchos sitios web utilizan el cifrado TLS para las páginas de inicio de sesión para evitar que los atacantes vean la contraseña, pero no utilizan el cifrado para el resto del sitio una vez autenticado . Esto permite a los atacantes que pueden leer el tráfico de red interceptar todos los datos que se envían al servidor o las páginas web vistas por el cliente. Dado que estos datos incluyen la cookie de sesión , les permite suplantar a la víctima, incluso si la contraseña en sí no está comprometida. ^{[ 3 ]} Los puntos de acceso Wi-Fi no seguros son particularmente vulnerables, ya que cualquiera que comparta la red generalmente podrá leer la mayor parte del tráfico web entre otros nodos y el punto de acceso .
• El cross-site scripting (secuencias de comandos entre sitios) consiste en que el atacante engaña al ordenador del usuario para que ejecute un código que se considera fiable porque parece pertenecer al servidor, lo que permite al atacante obtener una copia de la cookie o realizar otras operaciones.
• El malware y los programas no deseados pueden usar el secuestro del navegador para robar los archivos de cookies del navegador sin el conocimiento del usuario y luego realizar acciones (como instalar aplicaciones de Android) sin el conocimiento del usuario. ^{[ 4 ]} Un atacante con acceso físico puede simplemente intentar robar la clave de sesión , por ejemplo, obteniendo el contenido del archivo o la memoria de la parte correspondiente de la computadora del usuario o del servidor.

Tras adquirir con éxito las cookies de sesión adecuadas, un adversario inyectaría la cookie de sesión en su navegador para suplantar la identidad del usuario víctima en el sitio web del que se robó la cookie de sesión. ^{[ 5 ]}

Los métodos para prevenir el secuestro de sesión incluyen:

• El cifrado del tráfico de datos transmitido entre las partes se realiza mediante SSL / TLS ; en particular, la clave de sesión (aunque idealmente todo el tráfico durante toda la sesión ^{[ 23 ]} ). Esta técnica es ampliamente utilizada por bancos en línea y otros servicios de comercio electrónico, ya que previene por completo los ataques de tipo interceptación. Sin embargo, aún podría ser posible realizar algún otro tipo de secuestro de sesión. En respuesta, científicos de la Universidad Radboud de Nijmegen propusieron en 2013 una forma de prevenir el secuestro de sesión correlacionando la sesión de la aplicación con las credenciales SSL / TLS ^{[ 24 ].}
• Utilizar un número o cadena aleatoria larga como clave de sesión . Esto reduce el riesgo de que un atacante pueda adivinar una clave de sesión válida mediante ensayo y error o ataques de fuerza bruta.
• Regenerar el ID de sesión después de un inicio de sesión exitoso. Esto evita la fijación de sesión, ya que el atacante desconoce el ID de sesión del usuario una vez que este ha iniciado sesión.
• Algunos servicios realizan comprobaciones secundarias de la identidad del usuario. Por ejemplo, un servidor web podría verificar con cada solicitud que la dirección IP del usuario coincida con la última utilizada durante esa sesión. Sin embargo, esto no impide los ataques de alguien que comparte la misma dirección IP y podría resultar frustrante para los usuarios cuya dirección IP puede cambiar durante una sesión de navegación .
• Como alternativa, algunos servicios modifican el valor de la cookie con cada solicitud. Esto reduce drásticamente el tiempo que un atacante puede aprovechar y facilita la identificación de si se ha producido un ataque, pero puede causar otros problemas técnicos (por ejemplo, dos solicitudes legítimas y muy cercanas en el tiempo provenientes del mismo cliente pueden provocar un error de verificación de token en el servidor).
• Los usuarios también pueden querer cerrar sesión en los sitios web cuando terminen de usarlos. ^{[ 25 ] [ 26 ]} Sin embargo, esto no protegerá contra ataques como Firesheep .

• ArpON
• Falsificación de solicitudes entre sitios
• Cookie HTTP
• ataque de predicción de secuencia TCP