AWWW-1st3.6-w13.tresc-1.0-Slajd11
Przewidywalny identyfikator sesji
Zwykle identyfikator sesji jest generowany przez serwer aplikacji, niemniej jednak jeżeli odbywa się to przy użyciu niedbale zaimplementowanego algorytmu, to wzrasta poziomo zagrożenia aplikacji atakami typu "Przejęcie sesji". Identyfikator sesji powinien być generowany przez silny algorytm losowy tak, aby intruz nie mógł łatwo odgadnąć kolejnej wartości identyfikatora generowanego dla nowego użytkownika. Jednocześnie przestrzeń, czy też liczba możliwych kombinacji identyfikatorów powinna być tak duża, aby wykluczyć ataki brutalne polegające na testowaniu wszystkich możliwych kombinacji. Do złych praktyk generowania identyfikatorów sesji zalicza się m.in.: generowanie identyfikatorów sekwencyjnych, w których kolejna sesja otrzymuje wartość identyfikatora o jeden wyższą od poprzedniej sesji, generowanie identyfikatorów na podstawie nazwy użytkownika lub jego adresu IP np. za pomocą funkcji mieszającej, czy też generowanie identyfikatorów sesji, które nie tracą ważności po określonym czasie i mogą być ponownie wykorzystywane w przyszłości.
