Istuntokaappaus
Istuntokaappaus on metodi, jota käytetään palvelinohjelmia sisältäville web-sivustoille murtautumiseen. Istunnon kaappaaminen tarkoittaa, että hyökkääjä esiintyy toisena käyttäjänä käyttämällä tämän istuntotunnistetta. Web-sivusto erehtyy tällöin pitämään hyökkääjää luvallisena käyttäjänä ja antaa tämän käyttää sivustoa toisen käyttäjän oikeuksin. Katso Mies välissä -hyökkäys.
Joissakin palveluissa istuntotunnisteet ovat ennalta arvattavia. Istuntotunniste saattaa esimerkiksi koostua käyttäjän kirjautumisnimestä ja/tai aikaleimasta sekä satunnaisluvusta. Tällainen istuntotunniste on helppo arvata tarkoitusta varten tehdyllä ohjelmistolla. Siksi onkin suositeltavaa käyttää käytetyn web-ohjelmointikielen sisäistä istunnonhallintaa, joka on yleensä turvallisempi.
Joskus hyökkääjä voi itse määrätä käyttäjän istuntotunnisteen vihamielisellä linkillä. Mikäli istuntotunnistetta siirretään sivulta toiselle sivun URL-osoitteen mukana, saattaa hyökkääjä tehdä sivustolle linkin, johon hän liittää haluamansa istuntotunnisteen. Käyttäjän klikattua linkkiä, hän siirtyy sivustolle ja hänen istuntotunnisteekseen asetetaan hyökkääjän määrittämä tunnus. Jos käyttäjä kirjautuu sisään palveluun, voi hyökkääjä käyttää tämän istuntotunnusta. Web-sivusto luulee, että hyökkääjä on kirjautunut käyttäjä.
Langattomissa lähiverkoissa ja keskitinverkoissa hyökkääjän on mahdollista lukea toisille tietokoneille tarkoitettua viestiliikennettä, mikäli sitä ei ole salattu. Hyökkääjä voi etsiä toisen käyttäjän istuntotunnisteen tämän verkkoliikenteen seasta ja ottaa sen käyttöönsä.
Joillakin sivustoilla käyttäjän antamia tietoja ei puhdisteta kunnolla. Hyökkääjän on silloin mahdollista liittää web-sivulle haluamiaan komentoja skriptikieltä käyttäen. Hän saattaisi vaikkapa kirjoittaa keskustelupalstalle viestin, joka sisältää seuraavan koodin:
Tämä melko viattoman näköinen koodi lähettää käyttäjän hakkerin tiedonkeräyssivuille mukanaan sivuun liittyvän evästeen sisältö. Koska istuntotunniste pidetään yleensä evästeessä, saa hyökkääjä sen tietoonsa.
Joskus selaimissa esiintyy tietoturva-aukkoja, jotka sallivat web-sivuston lukea toisen web-sivuston evästeitä. Koska istuntotunniste pidetään yleensä evästeessä, saa hyökkääjä sen tietoonsa.
Istuntokaappauksilta voi suojautua monin tavoin.
Tietoliikenteen salaaminen on suositeltavaa aina, kun verkon yli siirretään luottamuksellista tietoa. Istuntotunnisteet ja salasanat tulisi aina siirtää salattua yhteyttä pitkin. Usein salauksen käyttö ei kuitenkaan ole mahdollista resurssisyistä.
Istunnon alussa voidaan tallentaa käyttäjän IP-osoite tai muu käyttäjän selaimen lähettämä tieto palvelimelle. Aina sivua ladattaessa voidaan verrata käyttäjän lähettämää tietoa aiemmin tallennettuun tietoon. Jos tieto on muuttunut, siitä voidaan päätellä, että käyttäjä ei ole sama kuin alkuperäinen.
Tämä metodi ei kuitenkaan ole täysin ongelmaton. Käyttäjän IP-osoite saattaa vaihdella jokaisella latauskerralla, mikäli tämän internet-operaattori on näin määrittänyt. Tämä muodostuu ongelmaksi muun muassa mobiiliverkkoyhteyttä käytettäessä.
Toisaalta käyttäjän IP tai mikä tahansa muu selaintieto on mahdollista väärentää. Lisäksi, mikäli hyökkääjä ja käyttäjä ovat saman välityspalvelimen takana, heidän IP-osoitteensa näyttää samalta.
Istuntotunnus tulisi aina vaihtaa kirjauduttaessa palveluun. Näin istuntotunnuksen määrääminen ennalta hyökkääjän luomalla linkillä ei enää onnistuisi. Mikäli nykyiset istuntomuuttujat halutaan säilyttää, tulisi ne siirtää uuteen istuntoon ja tuhota ne vanhasta.
Selainten päivittäminen on tärkeää, jotta hyökkääjä ei voisi murtautua sivustolle sinun tunnuksillasi.
On suositeltavaa käyttää ohjelmointikielen sisäistä istunnonhallintaa, jos sellainen on saatavilla. Yleensä ohjelmointikielen sisäinen toteutus on turvallisempi. Jaetuilla palvelimilla ohjelmointikielen istunnonhallinta saattaa kuitenkin olla vaarallinen, jos web-sivustojen on mahdollista lukea istuntomuuttujien säilytyskansion tiedostoja. Tällöin toinen sivusto voi lukea sivusi istuntomuuttujia.
Käyttäjä ei koskaan saisi liittää html-koodia sivulle suoraan. Myös linkkien url-osoitteet tulisi tarkastaa, jotta ne eivät sisällä vihamielistä koodia. Jos sivustolla on esimerkiksi vieraskirja, saattaa hyökkääjä kirjoittaa www-osoite-kenttään scriptikoodia aloittamalla sen tekstillä "javascript:", tai lisätä siihen sitaatin, jonka jälkeen linkkiin on mahdollista liittää esimerkiksi skriptien tapahtumankäsittelijöitä.