Зловмисник сеансу – також викрадення сеансу TCP, це кібератака, яка відбувається під час сеансу користувача. Це трапляється, коли зловмисник вторгається в активний сеанс між сервером сайту, який ви відвідуєте, і вашим ПК, щоб вкрасти деяку інформацію.

Під час захопленого сеансу зловмисник може легко відстежувати вашу активність. Він також може вигнати вас із сесії та взяти на себе, якщо потрібно.

Це може серйозно вплинути на вас, якщо ви користуєтеся Інтернет-банкінгом, а ваш сеанс між ними переривається. Зловмисник може отримати інформацію про ваш ідентифікатор сеансу через ваш сеанс файлів cookie, видати себе за вас і переказати гроші на його рахунок.

Хоча цей тип викрадення може відбуватися будь-яким способом, він частіше трапляється під час перегляду веб-програм.

Збір сеансу – як це працює?

(Надання зображень: SSLstore.com)

Існує кілька методів, які хакери використовують для здійснення викрадення сеансу. Вони включають підключення до сеансу, атаки людини в браузері, фіксацію сеансу, передбачуваний ідентифікатор маркера сеансу, перевірку сеансу та міжсайтові сценарії.

Розглянемо їх детально:

1 сеанс сайд-джекінг:

Сеансовий підключення зазвичай використовується у разі незахищеної мережі Wi-Fi. У цій техніці зловмисник використовує перевірку пакетів для моніторингу трафіку мережі, а потім перехоплює файли cookie сеансу після того, як користувач пройшов автентифікацію на своєму сервері.

У випадку, якщо веб-сайт використовує шифрування TLS/SSL для своїх сторінок входу, зловмисники можуть отримати ключ сеансу з перевірку пакетів, щоб видати себе за користувача та захопити його сеанс.

2 Атака людини в браузері:

Цей тип атаки дуже схожий на атаки «людина посередині». Зловмисник повинен спочатку заразити комп'ютер користувача троянським вірусом. Як тільки користувач встановить це шкідливе програмне забезпечення на своєму комп’ютері, троянське програмне забезпечення чекає, поки користувач відвідає будь-який сайт.

Цей тип атаки може легко змінити деталі транзакції будь-якого користувача і може створювати різні інші транзакції за його спиною. Оскільки всі запити на транзакції здійснюються з системи користувача, веб-сайти не можуть визначити, чи вони підроблені.

3 Фіксація сеансу:

Цей метод змушує користувача автентифікувати неавтентифікований ідентифікатор сеансу. Після автентифікації зловмисник може отримати доступ до системи жертви.

(Надання зображень: SSLstore.com)

4 сеанс нюхання:

Перегляд сеансу є досить простим методом захоплення сеансу користувача. Кібер- зловмисник використовує Wireshark, проксі-сервер OWASP Zed або будь-який інший аналізатор для захоплення мережевого трафіку, який містить ідентифікатор сеансу між клієнтом і сайтом.

Як тільки він досягне цього, він може отримати несанкціонований доступ за допомогою цього токена.

(Надання зображень: SSLstore.com)

5 Міжсайтові сценарії:

Кіберзловмисники використовують уразливості сервера або програми для введення клієнтських скриптів на веб-сторінки. Завдяки цьому щоразу, коли завантажується зламана сторінка, браузер виконує довільний код.

Якщо для файлів cookie сеансу не встановлено значення HttpOnly, то за допомогою введених скриптів зловмисники зможуть отримати доступ до ключа сеансу, отримуючи таким чином відомості, необхідні для викрадення сеансу.

6 Ідентифікатор маркера передбачуваного сеансу:

Для генерування ідентифікатора сеансу різні веб-сервери використовують попередньо визначений шаблон або користувацький алгоритм. Якщо передбачуваність токена сесії висока, то передбачити це досить легко. Якщо хакер може аналізувати різні шаблони, фіксуючи кілька ідентифікаторів сеансів, він може передбачити точний ідентифікатор сеансу.

Чого отримують кібератаки від захоплення сеансів?

За допомогою активного захопленого сеансу зловмисники можуть робити практично все, що жертва мала привілей.

Напади можуть бути від середньої тяжкості до важкої. Серед серйозних прикладів викрадення сеансу – крадіжка персональної інформації (PII) для крадіжки особистих даних, переказ величезної суми грошей з рахунку жертви та купівля товарів в інтернет-магазинах.

Приклади захоплення сеансів

Використовуючи коефіцієнт стиснення витоків даних запитів TLS, зловмисники отримують доступ до файлів cookie користувача для входу, що стає ключем до викрадення їхніх сеансів на різних веб-сайтах електронної комерції та в банках.

Подібна атака потрапила в центр уваги у вересні 2012 року, коли організація викрадачів сесії під назвою CRIME втрутилася у злому веб-сайту компанії.

CRIME використовує метод грубої сили для розшифрування файлів cookie HTTPS для визначення автентифікованих користувачів. Потім код атаки змушує браузер жертви надсилати спеціально створені запити HTTPS на цільовий веб-сайт і аналізує зміну їхньої довжини після стиснення, що допомагає визначити цінність сеансового файлу cookie жертви.

Це можливо лише тому, що шифрування TLS/SSL використовує DEFLATE, алгоритм стиснення, який усуває репліковані рядки.

Код атаки не може прочитати файл cookie сеансу, але він може вставляти різні рядки та контролювати шляхи всіх нових запитів. Значення файлів cookie сеансу можуть бути досить великими, але було розроблено багато алгоритмів, щоб зробити атаки ефективними.

Які ризики та наслідки викрадення сеансу?

Успішне захоплення сеансу може дозволити зловмиснику робити все, що може зробити жертва. Це несе в собі різні значні ризики. Давайте перевіримо кілька:

1 Крадіжка особистих даних:

За допомогою викрадення сеансу зловмисники можуть отримати доступ до особистої інформації користувачів, яка може бути використана для крадіжки особи цих користувачів.

2 Використання єдиного входу для отримання доступу до додаткових систем:

Увімкнувши метод єдиного входу (SSO), зловмисники можуть без зусиль отримати доступ до додаткових систем, тим самим поширюючи ризик викрадення сеансу. Цей вид ризику є значущим для компаній, які надають SSO для своїх співробітників.

3 Грошові крадіжки:

Зловмисники можуть легко проводити різні грошові операції від імені жертви. Це може включати покупки в Інтернеті через збережені реквізити платежу та переказ грошей на інший рахунок.

4 Крадіжка даних:

Зловмисники можуть викрасти дані компанії або особисті дані, попередньо збережені у веб-додатку, і використовувати їх для власної вигоди, яка може включати заподіяння шкоди компанії/жертві.

Як ви можете захиститися від викрадення сесії?

Зловмисники сесії, як і фішинг, є однією з зростаючих загроз кібербезпеці у світі. Хоча існує чимало способів захистити себе від кібератаки, ось кілька ефективних методів захисту від викрадення сеансу:

1 Після автентифікації змініть ключ сеансу:

Щоб уникнути такого типу викрадення за допомогою методу фіксації сеансу, ви повинні змінити ключ сеансу після аутентифікації під час входу в систему. Таким чином, навіть якщо зловмисник отримає доступ до фактичного ключа сеансу, він не буде знати ключ до всього сеансу.

2 Використовуйте лише HTTPS:

Для повністю безпечних сеансів сторінки дуже важливо використовувати HTTPS на кожному сайті та в кожному додатку. HTTPS забезпечує наявність шифрування SSL/TLS протягом усього сеансу.

3 Використовуйте VPN:

Віртуальна приватна мережа (VPN) — це ще один спосіб запобігти атаці викрадення сеансу на вашу мережу. VPN маскує вашу оригінальну IP-адресу та забезпечує вашу безпеку, створюючи зашифрований тунель між вами та веб-сайтом. Таким чином, жоден зловмисник не зможе вторгнутися у вашу мережу.

Існують інші надійну службу VPNі захистити себе від викрадення сеансу та багатьох інших кібератак.

4 Додайте додаткові області для ідентифікаційної інформації:

Ви можете додати ще один рівень захисту до своєї мережі, ввівши додаткову ідентифікаційну інформацію за межі ключа сеансу. Це включає перевірку звичайної IP-адреси користувача та моделей використання.

5 Підтримуйте свої системи в актуальному стані:

Увімкніть автоматичні оновлення, щоб ваша система оновлювалася на всіх пристроях. Ви також можете встановити надійне антивірусне програмне забезпечення, щоб залишатися захищеним від усіх видів шкідливих програм. Це також включає зловмисне програмне забезпечення, яке зловмисники використовують для захоплення сеансу.

Ви також можете отримати антивірус за допомогою VPN, щоб задовольнити обидві свої потреби за допомогою одного програмного забезпечення.

Висновок

Зловмисники сесії є значною загрозою, жертвами якої стають користувачі в усьому світі. Однак є кілька способів захистити себе від цих атак. Кілька ефективних профілактичних заходів були згадані вище.

Ці заходи безпеки вимагають глибокого розуміння протоколів безпеки та шифрування. Якщо ви цього упустите, це може призвести до значного зламу даних.

Якщо ви хочете врятувати всю свою організацію від викрадення сеансів, вам потрібно ознайомити своїх співробітників з найкращими методами кібербезпеки.