security - session 安全

Question

我在一个公共(public)网站上工作，该网站将使用以 session ID 为键的数据库支持的用户 session 。我正在努力防止 session 劫持和篡改；我返回给客户的 session 数据本身值(value)有限，但我想防止大规模盗窃。我在这里制定了一个小方案，但我想得到一些反馈和批评。

• session 开始时，客户端会获得一个唯一 key 和 session 数据的哈希值。
• 在每个后续请求中，客户端都会发送一个 session key + 其 session 数据的哈希值。
• 如果 session 数据被修改，客户端将获得反射(reflect)其 session 数据的新哈希值。
• 如果请求带有与数据库不匹配的不正确散列， session 将被标记为已泄露。该请求和该 session 的所有后续请求会导致通过复制受损 session 创建一个新 session 。出于安全审计目的，新 session 引用了从中复制它们的 session 。

我想我可以观察被破坏的请求以扫描大规模攻击。

非常感谢。

Answer 1

这看起来相对安全，但是有几种方法可以绕过它:

• 如果 session key 被盗，散列也可能被盗。只要合法​​客户端什么都不做，劫持者就可以接管，并保持 key /哈希/数据的一致性。在合法客户端醒来之前，您什么都看不到……如果有的话。

• 在任何情况下，如果您的散列不够隐秘/安全，它可以简单地从数据中猜出(也可能被嗅探)。您可能应该使用某种随机盐(每个 session 、每个用户、每个时间范围......)来确保这尽可能难以猜测。