Dieser Artikel wurde maschinell übersetzt.
Ein Session-Hijacking-Angriff ist eine Form des Identitätswechsels. Der Hacker erhält Zugriff auf einen gültigen Sitzungsschlüssel des Computers, und mit diesem winzigen Bit an Informationen kann der Eindringling fast alles tun, was ein autorisierter Benutzer tun kann.
Wir helfen Ihnen zu verstehen, was Session Hijacking ist, und erklären Ihnen, wie Sie sich und Ihre Daten schützen können.
Was ist ein Session Hijacking Angriff?
Ein Zeitraum der Kommunikation zwischen zwei Geräten (z. B. einem Computer und einem Server) ist eine Sitzung. Die Authentifizierung startet den Prozess, und wenn die IT-Abteilung erfolgreich ist, generiert der Server ein Sitzungs-Token, das im Browser des Benutzers gespeichert wird. Während des Session Hijacking wird dieses Token gestohlen oder vorhergesagt.
Mit Ihrer Sitzungs-ID kann Ihr Hacker:
- Übernehmen Sie Ihre Session. Alles, wozu Sie auf dieser Website berechtigt sind, kann auch Ihr Hacker tun. Das kann bedeuten, Geld zu überweisen, einen Kauf zu tätigen oder Ihr Passwort zu ändern.
- Suchen Sie nach weiteren Möglichkeiten. Können Sie beim Anmelden auf einer Website (z. B. Google) auf einer anderen Website (z. B. YouTube) arbeiten? Ihr Hacker wird es herausfinden.
Diese Technik unterscheidet sich geringfügig vom Session-Spoofing. Beim Spoofing gibt sich Ihr Hacker als Sie aus und startet ohne Ihr Wissen eine neue Sitzung. Beim Session Hijacking arbeiten Sie außerdem gleichzeitig auf demselben Server wie Ihr Angreifer (bis das Programm abstürzt oder Sie aus der IT entfernt werden).
Wie beginnt Session Hijacking?
Bei der Entwicklung von Servern im Hinblick auf die Sicherheit sollte es für die IT-Abteilung schwierig sein, sich an Session Hijacking zu beteiligen. Leider sind Sicherheitsverletzungen häufig.
Es gibt fünf bekannte Techniken, darunter:
- Cross-Site-Script-Angriffe (XSS). Ein Angreifer sendet Ihnen einen scheinbar harmlosen Link. Sie klicken auf IT, und bösartiger Code wird ausgeführt. Der Hacker erhält Ihren Sitzungsschlüssel. Dieser Ansatz wird von OWASP als eines der wichtigsten Sicherheitsrisiken für die Anwendung angesehen.
- Malware. Ihr Hacker platziert einen bösartigen Link in einer E-Mail-Adresse oder auf einer Website. Wenn Sie infiziert sind, kann der Hacker Sitzungsschlüssel stehlen oder auf andere Weise Ihr Gerät übernehmen. Manchmal verwenden Hacker Malware, um Man-in-the-Middle- oder Man-in-the-Browser-Angriffe durchzuführen, bei denen sie alles sehen können, was Sie auf einem beliebigen Server tun.
- Session Fixierung. Der Hacker sendet Ihnen über einen Link einen bekannten Session-Schlüssel. Wenn Sie sich über diesen Link anmelden, hat der Hacker Ihr Cookie.
- Session-Side-Jacking. Der Hacker verwendet ein Sniffing-Tool, um unverschlüsselten Datenverkehr zu lesen, der zwischen Ihrem Gerät und dem Server übertragen wird. Wenn Sie in einem öffentlichen WLAN arbeiten, ist die Arbeit des Hackers noch einfacher, da Ihr Datenverkehr möglicherweise nicht verschlüsselt ist.
- Session-Sniffing. Ihre Sitzungs-ID wird unverschlüsselt gesendet, und Ihr Hacker überwacht das Netzwerk, um die IT zu erkennen.
Hacker können auch Tools wie Firesheep verwenden. Diese Firefox Erweiterung wird über öffentliche WLAN-Sitzungen verwendet, um Sitzungscookies auf authentifizierten Websites zu kopieren. Hacker können auch plattformspezifische Tools wie den WhatsappSniffer verwenden, um ihre Arbeit zu umgehen und Session vollständig zu übernehmen.
Es gibt noch viele weitere Tools, darunter DroidSheep und CookieCadger. Solange Hacker Session übernehmen wollen, werden Hacking-Entwicklungsteams da sein, um ihnen zu helfen.
So verhindern Sie Session Hijacking
Viele moderne Browser verfügen über einen integrierten Session-Hijacking-Schutz. Wenn Sie sicherstellen, dass Sie bei jedem Zugriff auf die webbasierte Website die neueste Software verwenden, können Sie Ihre Daten schnell und einfach schützen.
Zu den vier weiteren Sicherheitsoptionen gehören:
- Verstärkte Verschlüsselung. Stellen Sie sicher, dass alle Bewegungen zu und von Ihrem Server vollständig verschlüsselt sind, damit kein Unbeteiligter zuschauen und stehlen kann.
- Fordern Sie ein VPN. Wenn Sie oder Ihre Mitarbeiter in öffentlichen Räumen arbeiten müssen, stellen Sie sicher, dass Ihre Kommunikation mit einem VPN geschützt ist. Öffentliches WLAN ist einfach zu gefährlich.
- Adressrechnung. Richten Sie Ihren Server so ein, dass er zufällige Session-Cookies ausgibt, damit Hacker nur schwer erraten können, was als nächstes kommt.
- Krawatten durchtrennen. Wenn eine Sitzung endet, melden Sie sich ab. Wenn Sie Site-Administrator sind, melden Sie den Benutzer nach einer Zeit der Inaktivität ab.
Referenzen
OWASP Top Ten. OWASP.
Wie Firesheep webbasierte Sitzungen entführen kann. (November 2010). Dunkle Lektüre.
WhatsApp Sniffer Apk-Download für Android. WhatsApp Sniffer Apk.
Was ist Session Hijacking und wie kann man es verhindern? EC-Rat.
