Wolla

http://www.chip.de/news/Facebook-kna..._45362587.html

Offenbar basiert das auf Session-Hijacking. Man klaut sich den Cookie eines anderen PC und fährt dann auf dessen Session spazieren - oder verstehe ich das falsch?

Ein Grund mehr, sich mal verstärkt mit dem Thema Session-Sicherheit zu beschäftigen.

__________________
Warum denkt mein Hund eigentlich immer dann, wenn es an der Tür klingelt, es sei für ihn?

Mister Ad

Flor1an

Jop genau so geht das. Allerdings funktioniert das nur wenn du im selben Netzwerk wie der andere Rechner sitzt und du die Datenpakete der anderen Rechner mitschneiden kannst. Das ist allerdings nicht "so häufig" der Fall würde ich sagen. Nur in unverschlüsselten WLANs, selbst im Heimnetz wenn du nen Switch benutzt sollte das schon nicht mehr möglich sein.

cycap

Das heisst FireSheep greift direkt auf die Netzwerkkarte zu oder wie läuft das?

Flor1an

Nicht direkt, im Artikel steht das WinPCAP benötigt wird. Das ist ne Bibliothek die eben auf die Netzwerkkarte zugreift und dort Pakete empfangen und senden kann.

Trainmaster

Vielen Dank, Wolla, für den Link. Ich finde das Thema sehr interessant, gerade da ich mich zur Zeit mit einem Login-System beschäftige.

Würde es denn schon ausreichen, den Session-Cookie mit dem Parameter "secure = true" zu versehen oder sollte konsequent im kompletten Login-Bereich SSL verwendet werden?

Flor1an

Da musst du schon komplett SSL verwenden den es geht um die Übertragung der Cookies vom Client zum Server. Und da ist völlig egal was in der Session steht, solang der Angreifer deinen Cookie mitlesen kann reicht ihm das (meist, wenn es jetzt nicht irgendwie noch die IP oder so überprüft wird, wobei wenn du im selben Netzwerk sitzt du wohl auch die selbe IP nach außen hin haben wirst).

Trainmaster

Aber reicht dann nicht eigentlich der secure Parameter des Session-Cookies? Zitat:

agrajag

Ja.
Du musst allerdings dann bedenken, dass Seiten die du nicht über SSL auslieferst das Cookie auch nicht bekommen - und du somit nicht weißt ob der user eingeloggt ist.

Eine mögliche Lösung ist es, das Session-Cookie "ganz normal" zu setzen, aber beim Login (der natürlich nur über SSL gehen darf) ein zweites Cookie mit secure=true und einem zufälligen String zu setzen.
Alle "gefährlichen/privaten" Aktionen müssen über SSL laufen und auf jeder Seite prüfst du a) ob der User eingeloggt ist (Session-Cookie) und b) ob er das secure-Cookie auch hat.

__________________
Today you...Tomorrow me.

Flor1an

Soweit ich das verstanden hab bedeutet aber cookie_secure = On nur das die Session Cookies NUR mitgesendet wird wenn du über SSL (https) deine Seite lädst. Wenn du sie normal mit http öffnest dann wird das Session Cookie gar nicht übertragen.

Das Cookie wird ja IM HTTP Request übertragen, es wird also nicht separat übertragen und kann somit nicht separat verschlüsselt werden.

Trainmaster

Achso, dann habe ich das falsch aufgefasst. Nun gut, dann baue ich den Konstruktur meines Controllesr (ein zentraler Admin-Controller) eine automatische Weiterleitung auf https ein, sofern die Seite über http angefragt wird. Einwandfrei, vielen Dank soweit