L'attaque par fixation de session, et comment s'en protéger
L'attaque par fixation de session est une attaque proche du vol de session:
- L'attaquant crée une session sur le serveur;
- L'attaquant transmet ce numéro de session à la victime, par exemple via un lien;
- La victime s'authentifie, en utilisant ce numéro de session;
- L'attaquant peut maintenant utiliser le compte de la victime.
Se protéger
Il existe une technique simple pour se protéger contre cette attaque: lors de chaque login réussi, le serveur doit créer un nouveau numéro de session. En PHP, il suffit d'utiliser la fonction session_regenerate_id()
Cette fonction créera un nouveau numéro de session et l'enverra au client, sans perdre les données de la session, évitant ainsi que l'attaquant puisse accéder aux données du client...
