GESTIÓN DE SESIONES WEB

Meer zoals dit

Familia ISO 27000

door nicolas perez valencia

PERFIL Y CARACTERISTICAS DEL EMPRENDEDOR

door Andres Martinez

ESTRUCTURA DEL DEPARTAMENTO DE CREDITO Y COBRANZA

door Gustavo Cardenas

POLÍTICAS CONTABLES NIC 8

door Helen Palomino

CONFIGURACIÓN SEGURA EN FRAMEWORKS WEB

ASP .NET

Session.Abandon

ASP.NET_SessionId

DateTime

requireSSL

Request.UserHostAddress

sessionState

httpOnlyCookies

web.config

SessionIDManager

JAVA

JSESSIONID

getCreationTime

session-timeout

cookie-config

security-constraint

RemoteAddr

tracking-mode

Contenedor Servlets

http-only

web.xml

PHP

CONFIGURACIÓN SEGURA

MEDIDAS CONTRA LOS ERRORES EN EL CIERRE DE SESIÓN

Invalidar y no reutilizar los identificadores de sesión

session.destroy

session.cookie_path

ssession.cookie_domain

Establecer un tiempo máximo de validez de sesión

session.cookie_lifetime

Establecer timeout de sesión

session.gc_maxlifetime

MEDIDAS CONTRA EAVESDROPPING

Utilizar la opción secure en las cookies de sesión

session.cookie_secure

Utilizar el protocolo HTTPS

MEDIDAS CONTRA LA FIJACIÓN DE SESIÓN

$_SERVER['REMOTE_ADDR']

session.use_only_cookies

Renovar el identificador al autenticarse el usuario o asignarlo después de la autenticación

sesion_regenerate_id

MEDIDAS CONTRA LA CAPTURA XSS

Las cookies sólo accesibles a través de HTTP

session.cookie_httponly

MEDIDAS CONTRA LA PREDICCIÓN DE SESIÓN

Aletorización y longitud suficiente del identificador de sesión

session.entropy_file

TIPOS DE ATAQUES

XSS

ERRORES EN CIERRE DE SESIÓN

INTERCEPTAR COMUNICACIÓN

GESTIÓN DE SESIONES WEB

EAVESDROPPING (INTERCEPTANDO LA COMUNICACIÓN)

Asociar el identificador a información del usuario única como su dirección IP

Activar las secure cookies que evita el navegador pueda enviar la cookie por HTTP

Utilizar HTTPS

CAPTURA DEL IDENTIFICADOR A TRAVÉS DE ATAQUES XSS

Deshabilitar el método TRACE

Activar la opción httponly en servidor web

ERRORES EN EL CIERRE DE SESIÓN

No reutilizar los identificadores de sesión

Invalidar los identificadores de sesión

Utilizar cookies no persistentes

Establecer un tiempo máximo de validez

Establecer un timeout de sesión

FIJACIÓN DE SESIÓN

Asociar el identificador a información del usuario única como su IP

Permitir únicamente el identificador en cookies

Renovar el identificador o asignarlo únicamente después de la autenticación

PREDICCIÓN DE SESIÓN

SOLUCIONES

Aleatorización y longitud suficiente del identificador de sesión