Уязвимости системы авторизации

• Предсказуемое значение идентификатора сессии: идентификатор сессии генерируется не как случайное значение, а вычисляется на основе довольно простого алгоритма и имеет простую структуру, например число, значение которого увеличивается на единицу для каждой новой сессии. Идентификатор сессии, который просто подобрать, позволяет перехватить сессию другого пользователя и послать запрос веб-серверу с правами скомпрометированного пользователя.

• Отсутствие таймаута сессии: значение таймаута пользовательской сессии не ограничено или очень большое. Большое время жизни сессии увеличивает шансы подбора идентификатора, а также время, которым располагает злоумышленник для того, чтобы воспользоваться фактом взлома. С другой стороны, увеличение этого параметра повышает вероятность успеха атаки еще и потому, что увеличивается число одновременно открытых сессий.

• Недостаточная авторизация: атаки данного класса становятся возможны, если в приложении или на веб-сервере недостаточно четко отслеживаются права доступа к тем или иным ресурсам, недостаточно продуманы и настроены политики безопасности. Это может открыть доступ злоумышленнику к важной информации или функциям системы. Например, хранение идентификатора «роли» пользователя в скрытом поле HTML-формы позволяет легко повысить свои права в системе, если на сервере не предусмотрена дополнительная проверка.