Secuestro de sesión

informática, elsecuestro de sesión, a veces también conocido comosecuestro de cookiees la explotación de unasesión de ordenadorválida—a veces también llamado unallave desesión—para obtener acceso no autorizado a información o servicios en un sistema computacional. En particular, suele referirse al robo de una cookie mágica utilizada para autenticar un usuario a un servidor remoto. Es particularmente relevante paradesarrolladores web, ya que lascookies de HTTPutilizadas para mantener una sesión en muchos sitios web pueden ser fácilmente robadas por un atacante utilizando un ordenador de intermediario o al acceder a cookies guardadas en el ordenador de la víctima (verrobo de cookie de HTTP).
Un método popular utiliza paquetes IP enrutados por origen. Esto permite a un atacante en un punto B de la red que participe en una conversación entreAyCal empujar que los paquetes IP pasen a través de la máquinaB.
Si  elencaminamientobasado en origen no es factible, el atacante puede utilizar secuestro "ciego", por el cual  adivina las respuestas de las dos máquinas. Así, el atacante puede enviar una orden, pero nunca puede ver la respuesta. Aun así, una orden común sería poner una contraseña que permita el acceso desde algún lugar más en la red.
Un atacante también puede estar entre ("inline")AyCutilizando un programa de captura para mirar la conversación. Esto es conocido como "ataque de intermediario".
Las versiones 0.8 y 0.9 del protocolo HTTP no tenían cookies y otras características necesarias para secuestros de sesión. La versión 0.9beta deMosaicNetscape, liberada el 13 de octubre de 1994, permitía cookies.
Las versiones tempranas de HTTP 1.0 tenían algunas debilidades de seguridad relacionandas a secuestros de sesión, pero  eran difíciles de explotar debido a las ambigüedades de los servidores y navegadores HTTP 1.0 iniciales. Debido a que HTTP 1.0 ha sido designado como opción retrocompatible para HTTP 1.1 desde principios de los 2000 —y ya que los servidores HTTP 1.0 son todos  esencialmente servidores HTTP 1.1 el problema de secuestro de sesión ha evolucionado a un riesgo de seguridad casi permanente.
La introducción desupercookiesy otras características con el HTTP 1.1 modernizado ha permitido que el problema del secuestro se transforme en un problema de seguridad actual. La estandarización de estados de máquina de servidores web y navegadores ha contribuido a este problema de seguridad actual.
Hay cuatro métodos principales utilizados para perpetrar un secuestro de sesión. Estos son:
En octubre de 2010, una extensión deMozilla FirefoxllamadaFiresheepfue liberada lo que hizo fácil a secuestradores de sesión que atacaran usuarios de Wi-Fi públicos sin encriptar. Muchos sitios web comoFacebook,Twitter, y cualquiera que el usuario añadiera a sus preferencias permitían al usuario de Firesheep a acceder información privada de cookies fácilmente y amenazar la propiedad personal del usuario del Wi-Fi público.​ Unos meses más tarde, Facebook y Twitter respondieron ofreciendo (y más tarde exigiendo)HTTP Seguroen todos los accesos.​​
Una aplicación llamada "WhatsApp Sniffer" apareció enGoogle Playen mayo de 2012, y era capaz de mostrar mensajes de otros usuarios deWhatsAppconectados a la misma red que el usuario de la aplicación.​ En ese tiempo WhatsApp utilizaba infraestructuraXMPPcon encriptado, no comunicación de texto plano.​
DroidSheep es una herramienta sencilla de Android para secuestro de sesión de web (sidejacking). Escucha  paquetes de HTTP enviados vía una conexión de red inalámbrica (802.11) y extrae la id de sesión de estos paquetes para reutilizarla. DroidSheep puede capturar las sesiones utilizando la librería libpcap y permite: redes abiertas (sin encriptar), redes encriptadas con WEP, y redes encriptadas con WPA/WPA2 (solo PSK). Este software utiliza libpcap y arpspoof.​​ El apk fue liberado enGoogle Playpero fue retirada de ahí por Google.
CookieCadger es una aplicación en Java que automatiza elsidejackingy la repetición de peticiones HTTP GET inseguras.  Cookie Cadger ayuda a identificar fugas de información desde aplicaciones que utilizan peticiones HTTP GET inseguras.  Los proveedores web han empezado a avanzar en resolver esto desde el lanzamiento de Firesheep en 2010. Hoy, los sitios web más importantes pueden ofrecer SSL/TLS durante todas las  transacciones, impidiendo fugas de información desde cookies tanto en Ethernet por cable o por Wi-Fi inseguro.  Cookie Cadger es una herramienta de penetración de seguridad gráfica de código abierto hecha para interceptar y repetir peticiones concretas HTTP GET inseguras a un navegador. Cookie Cadger es una utilidad gráfica qué toma todo el poder de la herramientaWiresharky de Java para proporcionar una herramienta plenamentemultiplataforma, completamente de código abierto la cual puede usarse para monitorear redes Ethernet cableadas, Wi-Fi inseguro, o cargar un archivo de información de captura de paquetes para análisis off-line. Cookie Cadger ha sido usado para destacar las debilidades de sitios donde la juventud comparte información como Shutterfly (utilizados por la liga AYSO de fútbol) y TeamSnap.​
Los métodos para impedir secuestro de sesión incluyen: