Web应用程序的威胁与对策(20)

HMAC 通过以下方法来提供消息的完整性：

1. 发件人使用共享的秘密密钥来创建基于消息负荷的哈希。

2. 发件人将哈希与消息负荷一同传输。

3. 收件人使用共享密钥根据收到的消息负荷重新计算哈希。收件人然后将新的哈希值与传输的哈希值进行比较。如果它们

相同，则消息并未篡改。

返回页首

会话管理

Web 应用程序的会话管理是应用程序层的职责。会话安全对于应用程序的整体安全而言非常关键。

最大的会话管理威胁包括：

会话劫持 会话劫持 会话重播 Man in the middle

当攻击者使用网络监视软件来捕捉表示用户的会话和应用程序的身份验证令牌（通常是 Cookie）时，发生了会话劫持攻击。通过捕捉的 Cookie，攻击者可以哄骗用户的会话并获取应用程序的访问权。攻击者与合法用户具有相同级别的特权。

防止会话劫持的对策包括：

使用 SSL 来创建安全的通讯通道，并仅通过 HTTPS 连接传递身份验证 Cookie。 实现注销功能，允许用户在另一会话启动时结束强制进行身份验证的会话。 如果您未使用 SSL，请确保限制了会话 Cookie 的有效期。尽管这并不能防止会话劫持，但它减少了攻击者可用的时

限。

会话重播

当攻击者截取并提交用户的会话令牌以便绕过身份验证机制时，即发生了会话重播。例如，如果会话令牌在 Cookie 或 URL 中以纯文本形式存在，则攻击者可以对其侦听。攻击者然后使用劫持的会话令牌发出请求。

有助于消除会话重播威胁的对策包括：

执行关键功能时重新进行身份验证。例如，在银行应用程序中执行货币转移之前，使用户再次提供帐户密码。 使相应的会话（包括所有 Cookie 和会话令牌）过期。 创建“do not remember me”选项，以不允许在客户端上存储会话数据。