Quali attacchi sono più probabili contro il sessionid del servizio Web SSL / TLS?

2

Sto implementando una API Web con cui prevedo di autorizzare l'accesso accettando un nome utente e una password e il nome del sistema e restituendo un sessionid che può essere utilizzato nelle chiamate successive per autorizzare il chiamante.

L'API è disponibile solo tramite SSL 3.0 o TLS 1.0.

Quali sono gli attacchi principali che sarebbero possibili in questo scenario?

La risposta e i commenti a questa domanda su SO sembrano indicare che se il rischio di attacco è proporzionalmente basso, una maggiore complessità non migliorerà la sicurezza, ma aggiungerà complessità. Mi piacerebbe conoscere le aree di rischio più alte per gli attacchi per determinare le contromisure appropriate, se necessario.

    
posta Thronk 13.03.2013 - 22:29
fonte

1 risposta

2

Gli attacchi contro questo sistema rientrano in tre diverse categorie; Autenticazione, gestione della sessione e attacchi contro TLS.

  1. Le Linee guida Mozilla Secure Coding per l'autenticazione dettagli i seguenti attacchi di preoccupazione:

    • online e amp; ipotesi di brute force offline

    • enumerazione utente

    • blocco dell'account di massa (account DoS)

    • hash cracking offline (scambio di tempo)

    • password perse

  2. Linee guida Mozilla Secure Coding per la gestione delle sessioni dettagli i seguenti attacchi di preoccupazione:

    • Session Hijacking
    • Correzione della sessione
    • ID forzato della sessione forzata bruta
  3. OWASP Trucchi sulla sicurezza del layer di trasporto dettagli vari     modi in cui TLS / SSL può essere reso più sicuro. Alcune delle preoccupazioni     sono:

    • Rinegoziazione DoS

    • Debole crittografia / metodo di crittografia NULL

    • Certificato non valido

    • divulga l'ID di sessione su un canale non sicuro

risposta data 13.03.2013 - 23:37
fonte

Leggi altre domande sui tag