HTTP-Sitzungsbezeichner rotieren

  • Freigeben Version: Yokohama
  • Aktualisiert 30. Januar 2025
  • 1 Minute Lesedauer

    • Verwenden Sie glide.ui.rotate_sessionsEigenschaft zum Aktivieren der Rotation der HTTP-Sitzungsbezeichner, um Sicherheitsschwachstellen zu reduzieren.

    Wenn sich die Sitzungs-ID eines nicht authentifizierten Anwenders nach der Authentifizierung nicht ändert, ist eine Webanwendung angreifbar für Angriff auf Sitzungsfixierung . Ein böswilliger Anwender kann eine nicht authentifizierte Sitzung starten und dem Opfer die zugehörige Sitzungs-ID geben. Sobald sich das Opfer authentifiziert hat, gibt der böswillige Anwender diese authentifizierte Sitzung jetzt frei.

    Weitere Informationen

    Attribut Beschreibung
    Eigenschaftsname glide.ui.rotate_sessions
    Konfigurationstyp Systemeigenschaften (/sys_properties_list.do)
    Kategorie Management von Anwendersitzungen
    Zweck Um eine sicherere Sitzungsauthentifizierung zu erzielen.
    Empfohlener Wert wahr
    Standardwert wahr
    Sicherheitsrisikobewertung 8.8
    Funktionale Auswirkung Diese Korrektur hat die SessionID geändert, wenn der Anwender von der nicht authentifizierten Seite zu authentifizierten Seiten navigiert.
    • Wenn Sie einen Proxy verwenden oder die SessionID bei der ersten Anmeldung eines Anwenders oder für einen beliebigen Zweck hartcodieren, kann dies Auswirkungen auf die Funktionalität haben.
    • Wenn Sie das SAML 2,0-Plugin für die Single Sign-on-Authentifizierung verwenden, kann dies die gemeinsame Nutzung von Sitzungsinformationen zwischen der Instanz und dem Identitätsanbieter beeinträchtigen. In diesem Fall können Sie diese Eigenschaft auf „falsch“ festlegen.
    Sicherheitsrisiko (Mittel) SessionID wird verwendet, um den Instanzanwender zu verarbeiten und zu authentifizieren, indem der Sitzungsstatus im Browser beibehalten wird. Daher gilt SessionID als vertrauliche Daten und sollte standardmäßig sicher sein. Sitzungsrotation ist eine Sicherheitskontrolle, die die Änderung der Sitzungs-ID erzwingt, wenn der Anwender von nicht authentifizierten Seiten navigiert, um Seiten zu authentifizieren.
    Referenzen

    Authentifizierung mit SAML

    Weitere Informationen zum Hinzufügen oder Erstellen einer Systemeigenschaft finden Sie unter Add a system property.