Session Management Cheat Sheet Español - Revision history

Eugeniabahit at 00:18, 13 August 2015

2015-08-13T00:18:12Z

Eugeniabahit: Eugeniabahit movió la página Guía de Referencias sobre el Manejo de Sesiones a Session Management Cheat Sheet Español

2015-08-13T00:16:43Z

Eugeniabahit movió la página Guía de Referencias sobre el Manejo de Sesiones a Session Management Cheat Sheet Español

Eugeniabahit at 00:08, 13 August 2015

2015-08-13T00:08:50Z

Eugeniabahit at 02:31, 12 August 2015

2015-08-12T02:31:28Z

Eugeniabahit at 02:35, 7 August 2015

2015-08-07T02:35:13Z

Eugeniabahit: /* Entropía del ID de Sesión */

2015-08-07T02:34:54Z

‎Entropía del ID de Sesión

Eugeniabahit at 02:34, 7 August 2015

2015-08-07T02:34:32Z

Eugeniabahit at 02:20, 7 August 2015

2015-08-07T02:20:05Z

Eugeniabahit at 02:02, 6 August 2015

2015-08-06T02:02:13Z

Eugeniabahit at 23:46, 5 August 2015

2015-08-05T23:46:23Z

← Older revision		Revision as of 00:18, 13 August 2015
Line 9:		Line 9:
	Last revision (mm/dd/yy): '''{{REVISIONMONTH}}/{{REVISIONDAY}}/{{REVISIONYEAR}}'''		Last revision (mm/dd/yy): '''{{REVISIONMONTH}}/{{REVISIONDAY}}/{{REVISIONYEAR}}'''

−	= Introducción =	+	= Introducción al manejo de Sesiones =

@@ Line 1: / Line 1: @@
   __NOTOC__
 <div style="width:100%;height:160px;border:0,margin:0;overflow: hidden;">[[File:Cheatsheets-header.jpg|link=]]</div>
@@ Line 5: / Line 8: @@
 | valign="top"  style="border-right: 1px dotted gray;padding-right:25px;" |
 Last revision (mm/dd/yy): '''{{REVISIONMONTH}}/{{REVISIONDAY}}/{{REVISIONYEAR}}'''
 = Introducción  =
   __TOC__{{TOC hidden}}
 '''Autentificación Web, Manejo de sesiones y Control de Acceso'''

← Older revision		Revision as of 02:31, 12 August 2015
Line 60:		Line 60:

	'''''OBSERVACIONES''''': La entropía del ID de sesión está realmente afectada por otros factores externos que son difíciles de medir, tales como la concurrencia de sesiones activas que la aplicación Web tiene comúnmente, el tiempo de espera de caducidad absoluta de la sesión, la cantidad de intentos de adivinación de ID de sesiones por segundo, que el atacante puede hacer y que la aplicación de destino pueda soportar, etc [2]. Si un ID de sesión con una entropía de 64 bits es usada, tomará al tacante, al menos 292 años adivinar con éxito un ID de sesión válido, asumiendo que el atacante pueda intentar 10,000 adivinaciones por segundo con 100,000 sesiones simultáneas válidas en la aplicación Web[2].		'''''OBSERVACIONES''''': La entropía del ID de sesión está realmente afectada por otros factores externos que son difíciles de medir, tales como la concurrencia de sesiones activas que la aplicación Web tiene comúnmente, el tiempo de espera de caducidad absoluta de la sesión, la cantidad de intentos de adivinación de ID de sesiones por segundo, que el atacante puede hacer y que la aplicación de destino pueda soportar, etc [2]. Si un ID de sesión con una entropía de 64 bits es usada, tomará al tacante, al menos 292 años adivinar con éxito un ID de sesión válido, asumiendo que el atacante pueda intentar 10,000 adivinaciones por segundo con 100,000 sesiones simultáneas válidas en la aplicación Web[2].
		+
		+
		+	== Contenido (o valor) del ID de sesión ==
		+
		+	El contenido (o valor) del ID de sesión debe carecer de sentido a fin de prevenir ataques de divulgación de información, en los que un atacante es capaz de decodificar el contenido del ID, extraer detalles del usuario, la sesión o del funcionamiento interno de la aplicación web.
		+
		+	El ID de sesión debe ser, simplemente, un identificador en el lado del cliente y su valor no debe incluir información sensible (o PII). El significado y la lógica de negocios o de la aplicación asociada al ID de sesión, debe ser almacenada del lado del servido y, específicamente, en objetos de sesión o en una base de datos de gestión de sesiones o repositorio. La información almacenada puede incluir la dirección IP del cliente, el User-Agent, e-mail, nombre de usuario, ID de usuario, rol, nivel de privilegio, derechos de acceso, preferencia de idioma, ID de cuenta, estado actual, último inicio de sesión, tiempos de espera de la sesión y otros detalles internos de la sesión. Si los objetos de sesión y propiedades contienen información sensible, como números de tarjeta de crédito, es requerido cifrar y proteger debidamente el repositorio de manejo de sesiones.

← Older revision		Revision as of 02:35, 7 August 2015
Line 60:		Line 60:

	'''''OBSERVACIONES''''': La entropía del ID de sesión está realmente afectada por otros factores externos que son difíciles de medir, tales como la concurrencia de sesiones activas que la aplicación Web tiene comúnmente, el tiempo de espera de caducidad absoluta de la sesión, la cantidad de intentos de adivinación de ID de sesiones por segundo, que el atacante puede hacer y que la aplicación de destino pueda soportar, etc [2]. Si un ID de sesión con una entropía de 64 bits es usada, tomará al tacante, al menos 292 años adivinar con éxito un ID de sesión válido, asumiendo que el atacante pueda intentar 10,000 adivinaciones por segundo con 100,000 sesiones simultáneas válidas en la aplicación Web[2].		'''''OBSERVACIONES''''': La entropía del ID de sesión está realmente afectada por otros factores externos que son difíciles de medir, tales como la concurrencia de sesiones activas que la aplicación Web tiene comúnmente, el tiempo de espera de caducidad absoluta de la sesión, la cantidad de intentos de adivinación de ID de sesiones por segundo, que el atacante puede hacer y que la aplicación de destino pueda soportar, etc [2]. Si un ID de sesión con una entropía de 64 bits es usada, tomará al tacante, al menos 292 años adivinar con éxito un ID de sesión válido, asumiendo que el atacante pueda intentar 10,000 adivinaciones por segundo con 100,000 sesiones simultáneas válidas en la aplicación Web[2].
		+

	= Autores y Editores Principales =		= Autores y Editores Principales =

← Older revision		Revision as of 02:34, 7 August 2015
Line 59:		Line 59:


−	'''''OBSERVACIONES''''': La entropía del ID de sesión está realmente afectada por otros factores externos que son difíciles de medir, tales como la concurrencia de sesiones activas que la aplicación Web tiene comúnmente, el tiempo de espera de caducidad absoluta de la sesión, la cantidad de intentos de adivinación de ID de sesiones por segundo, que el atacante puede hacer y que la aplicación de destino pueda soportar, etc [2]. Si un ID de sesión con una entropía de 64 bits es usada, tomará al tacante, al menos 292 años adivinar con éxito un ID de sesión válido, asumiendo que el atacante pueda intentar 10,000 adivinaciones por segundo con 100,000 sesiones simultáneas válidas en la aplicación Web[2].	+	'''''OBSERVACIONES''''': La entropía del ID de sesión está realmente afectada por otros factores externos que son difíciles de medir, tales como la concurrencia de sesiones activas que la aplicación Web tiene comúnmente, el tiempo de espera de caducidad absoluta de la sesión, la cantidad de intentos de adivinación de ID de sesiones por segundo, que el atacante puede hacer y que la aplicación de destino pueda soportar, etc [2]. Si un ID de sesión con una entropía de 64 bits es usada, tomará al tacante, al menos 292 años adivinar con éxito un ID de sesión válido, asumiendo que el atacante pueda intentar 10,000 adivinaciones por segundo con 100,000 sesiones simultáneas válidas en la aplicación Web[2].

	= Autores y Editores Principales =		= Autores y Editores Principales =

← Older revision	Revision as of 00:16, 13 August 2015
(No difference)

← Older revision		Revision as of 02:20, 7 August 2015
Line 48:		Line 48:
	La longitud del ID de sesión debe ser de al menos 128 bit (16 bytes).		La longitud del ID de sesión debe ser de al menos 128 bit (16 bytes).

−	'''''Observaciones''''': La longitud de un ID de sesión de 128 bits se proporciona como una referencia sobre la base de las hipótesis formuladas en la siguiente sección "Entropía del ID de Sesión". Sin embargo, este número no debe ser considerado como un valor mínimo absoluto, como otros factores de implementación podrían influir en su fuerza. Por ejemplo, existen implementaciones, tales como Microsoft ASP.NET, haciendo uso de números aleatorios de 120 bits para sus identificadores de sesión (representados por cadenas de texto de 2 [10]) que pueden proporcionar una muy buena entropía efectiva y, como resultado, puede ser considerado suficientemente largo para evitar adivinar o atacar con fuerza bruta.

		+	'''''OBSERVACIONES''''': La longitud de un ID de sesión de 128 bits se proporciona como una referencia sobre la base de las hipótesis formuladas en la siguiente sección "Entropía del ID de Sesión". Sin embargo, este número no debe ser considerado como un valor mínimo absoluto, como otros factores de implementación podrían influir en su fuerza. Por ejemplo, existen implementaciones, tales como Microsoft ASP.NET, haciendo uso de números aleatorios de 120 bits para sus identificadores de sesión (representados por cadenas de texto de 2 [10]) que pueden proporcionar una muy buena entropía efectiva y, como resultado, puede ser considerado suficientemente largo para evitar adivinar o atacar con fuerza bruta.
		+
		+
		+	== Entropía del ID de Sesión ==
		+
		+	El ID de sesión debe ser impredecible (lo suficientemente aleatorio) para prevenir ataques que intenten adivinarlos, en los que donde un atacante es capaz de adivinar o predecir el ID de una sesión válida a través de técnicas de análisis estadístico. Para este propósito, un buen Generador de Números Pseudo Aleatorios (PRNG, siglas en inglés de ''Pseudo Random Number Generator'') debe ser usado.
		+
		+	El valor del ID de sesión debe proporcionar al menos 64 bits de entropía (si un buen PRNG es usado, este valor se estima es la mitad de la longitud del ID de sesión).
		+
		+
		+	'''''OBSERVACIONES''''': La entropía del ID de sesión está realmente afectada por otros factores externos que son difíciles de medir, tales como la concurrencia de sesiones activas que la aplicación Web tiene comúnmente, the absolute session expiration timeout, the amount of session ID guesses per second the attacker can make and the target web application can support, etc [2]. If a session ID with an entropy of 64 bits is used, it will take an attacker at least 292 years to successfully guess a valid session ID, assuming the attacker can try 10,000 guesses per second with 100,000 valid simultaneous sessions available in the web application [2].

	= Autores y Editores Principales =		= Autores y Editores Principales =

← Older revision		Revision as of 02:02, 6 August 2015
Line 26:		Line 26:


−	La divulgación, captura, predicción, fuerza bruta, o la fijación del ID de sesión dará lugar a taques de secuestro de sesión (o ''sidejacking''), donde un atacante es capaz de hacerse pasar por un usuario víctima en la aplicación Web. Los atacantes pueden realizar dos tipos de ataques de secuestro de sesión, dirigidos o genéricos. En un ataque dirigido, el objetivo del atacante es hacerse pasar por su víctima, un usuario específico (o privilegiado) de la aplicación Web. Para los ataques genéricos, el objetivo del atacante es hacerse pasar por (o ganar acceso como) cualquier usuario válido o legítimo de la la aplicación Web.	+	La divulgación, captura, predicción, fuerza bruta, o la fijación del ID de sesión dará lugar a taques de secuestro de sesión (o ''sidejacking''), donde un atacante es capaz de hacerse pasar por un usuario víctima en la aplicación Web. Los atacantes pueden realizar dos tipos de ataques de secuestro de sesión, dirigidos o genéricos. En un ataque dirigido, el objetivo del atacante es hacerse pasar por su víctima, un usuario específico (o privilegiado) de la aplicación Web. Para los ataques genéricos, el objetivo del atacante es hacerse pasar por (o ganar acceso como) cualquier usuario válido o legítimo de la la aplicación Web.
		+
		+
		+	= Características del ID de Sesión =
		+	Para mantener el estado autentificado y hacer un seguimiento del progreso del usuario dentro de la aplicación web, éstas deben proporcionar al usuario un identificador de sesión (ID de Sesión o token) que es asignado al momento de crear la sesión y es compartido e intercambiado entre el usuario y la aplicación Web durante toda la sesión (esto es enviado en cada solicitud HTTP). El ID de sesión se compone de un par "nombre=valor".
		+
		+	Con el objetivo de implementar ID de sesión seguros, la generación de identificadores (IDs o tokens) debe reunir las siguientes características:
		+
		+
		+	== Huella digital del nombre del ID de Sesión ==
		+	El nombre utilizado por el ID de sesión no debe ser muy descriptivo ni ofrecer detalles innecesarios sobre el propósito y el significado de éste.
		+
		+	A los nombres de ID de sesión usados por los marcos de desarrollo más comunes, tales como PHPSESSID (PHP), JSESSIONID (J2EE), CFID & CFTOKEN (ColdFusion), ASP.NET_SessionId (ASP .NET), etc., se les puede obtener la huella digital fácilmente. Por lo tanto, el nombre del ID de sesión puede revelar las tecnologías y los lenguajes de programación utilizados por la aplicación web.
		+
		+	Se recomienda cambiar el nombre de ID de sesión por defecto, a un nombre genérico como "id".
		+
		+	== Longitud del ID de sesión ==
		+
		+	El ID de sesión debe ser lo suficientemente largo para evitar ataques de fuerza bruta, en los que un atacante puede recorrer un rango de valores de ID y verificar la existencia de sesiones válidas.
		+
		+	La longitud del ID de sesión debe ser de al menos 128 bit (16 bytes).
		+
		+	'''''Observaciones''''': La longitud de un ID de sesión de 128 bits se proporciona como una referencia sobre la base de las hipótesis formuladas en la siguiente sección "Entropía del ID de Sesión". Sin embargo, este número no debe ser considerado como un valor mínimo absoluto, como otros factores de implementación podrían influir en su fuerza. Por ejemplo, existen implementaciones, tales como Microsoft ASP.NET, haciendo uso de números aleatorios de 120 bits para sus identificadores de sesión (representados por cadenas de texto de 2 [10]) que pueden proporcionar una muy buena entropía efectiva y, como resultado, puede ser considerado suficientemente largo para evitar adivinar o atacar con fuerza bruta.

← Older revision		Revision as of 23:46, 5 August 2015
Line 20:		Line 20:


−	[[Image:~~Session-Management-Diagram Cheat-Sheet~~.png\|center\|~~Session-Management-Diagram Cheat-Sheet~~.png]]	+	[[Image:Sesiones.png\|center\|Sesiones.png]]