Protezione di una pagina di accesso secondaria per l'immissione di un token di autenticazione a più fattori

Utilizza un cookie di sessione per tenere traccia degli utenti durante tutto il processo di autenticazione, proprio come avresti dopo l'autenticazione.

Assicurati che la lunghezza del tuo cookie e complessità sono sufficienti per resistere agli attacchi di forza bruta e spoofing. Utilizza sicuro e link attributi per impedire ai cattivi di catturarli e utilizzarli.

Utilizza un cookie per la verifica prima dell'autorizzazione, quindi rinnova l'ID di sessione dopo il secondo passo, che è un cambiamento di privilegio.

Questa è una di quelle cose in cui i problemi sono stati scandagliati e le migliori pratiche esistono per prescrivere ciò che dovresti fare: leggi, comprendi e segui Scheda Cheat di OWASP Session Management .

Dovresti avere cookie di sessione . La maggior parte dei framework web ha un supporto utile per questo.

Ma da un punto di vista della sicurezza, c'è un problema importante.

L'uso dei cookie di sessione (per differenziare i browser che utilizzano il tuo sito) e le credenziali di accesso (per differenziare gli utenti del tuo sito) raddoppiano efficacemente le funzionalità di autenticazione del tuo sistema. Quindi emerge una nuova possibilità di attacco, basata sulle interazioni impreviste tra i due.

I due tipi di attacco più banali potrebbero essere:

1. Se un utente si disconnette e quindi effettua di nuovo l'accesso, si avrà lo stesso ID di sessione, ma con un altro utente. Ad esempio, disconnettersi come utente moderatore e quindi accedere a un utente normale, potrebbe consentire al secondo di utilizzare i privilegi del moderatore del login precedente.
2. I cookie saranno quasi tanto importanti come le password, ma non sono nemmeno così strettamente sorvegliati. Un cookie rubato può rendere possibile "rubare" efficacemente l'account a cui appartiene.

Così,

1. Utilizza https.
2. Utilizza un timeout rapido dei cookie.
3. Dopo un logout, rimuovi la validità del cookie di sessione.
4. Cerca di utilizzare il minor numero possibile di variabili associate alla sessione.

Utilizzerei un token di sessione non privilegiato tra i due passaggi, a dimostrazione che questo utente ha terminato la prima parte dei processi di autenticazione multistadio, ma questo lo lascia non autenticato (non privilegiato).

Quindi, dopo il completamento della seconda fase, rigenerare un token di sessione ed eseguire l'escalation dei privilegi dell'utente su "autenticato" (o su qualsiasi cosa che si adatti alla matrice di controllo degli accessi).

Consentire l'accesso al secondo stadio solo se si dispone di un token che conferma che il primo stadio è stato completato. Altrimenti, reindirizza l'utente al primo livello.

Potresti dare un'occhiata al foglio di trucchi di autenticazione OWASP per alcune buone linee guida: link