Inhoudsopgave:
Definitie - Wat betekent sessiekaping?
Sessiekaping vindt plaats wanneer een sessietoken naar een clientbrowser wordt verzonden vanaf de webserver na de succesvolle authenticatie van een clientaanmelding. Een aanval voor het kapen van een sessie werkt wanneer het het token in gevaar brengt door ofwel in beslag te nemen of te raden wat een authentieke tokensessie zal zijn, waardoor ongeautoriseerde toegang tot de webserver wordt verkregen. Dit kan resulteren in het snuiven van sessies, man-in-the-middle of man-in-the-browser aanvallen, Trojaanse paarden of zelfs de implementatie van kwaadaardige JavaScript-codes.
Webontwikkelaars zijn vooral op hun hoede voor het kapen van sessies, omdat de HTTP-cookies die worden gebruikt om een websitesessie te ondersteunen door een aanvaller kunnen worden geboot.
Techopedia legt sessie-kaping uit
Vroeger ondersteunde het HTTP-protocol geen cookies en daarom bevatten webservers en browsers geen HTTP-protocol. De evolutie van sessiekaping begon in 2000 toen HTTP 1.0-servers werden geïmplementeerd. HTTP 1.1 is aangepast en gemoderniseerd om supercookies te ondersteunen, waardoor webservers en webbrowsers kwetsbaarder zijn geworden voor het kapen van sessies.
Webontwikkelaars kunnen bepaalde technieken inschakelen om sessiekaping van hun sites te voorkomen, waaronder versleutelingsmethoden en het gebruik van lange, willekeurige nummers voor de sessiesleutels. Andere oplossingen zijn het wijzigen van cookiewaarde-aanvragen en het uitvoeren van sessieregeneraties na het inloggen. Firesheep, een Firefox-extensie, heeft aanvallen van openbare gebruikerssessies mogelijk gemaakt door toegang tot persoonlijke cookies toe te staan. Sociale netwerkwebsites zoals Twitter en Facebook zijn ook kwetsbaar wanneer gebruikers ze toevoegen aan hun voorkeuren.
