Session Hijacking ist die Übernahme einer laufenden Sitzung mit einem gestohlenen Sitzungsmerkmal. Der Angreifer braucht dafür kein Passwort, weil die Anmeldung bereits stattgefunden hat.
- Session Hijacking
Die Übernahme einer laufenden Sitzung mit einem gestohlenen Sitzungsmerkmal.
Beispiel: „Beim Session Hijacking reicht das abgefangene Cookie, um als der angemeldete Nutzer zu handeln.“Auch: Sitzungsübernahme, Cookie-Diebstahl. Ein Sonderfall ist der Diebstahl eines Authentifizierungstokens.
Abgrenzung zur Session Fixation: Dort wird dem Opfer ein vom Angreifer gewähltes Merkmal untergeschoben, bevor es sich anmeldet.
Wie ein Angreifer an das Merkmal kommt
Auf drei Wegen. Über ein eingeschleustes Skript auf der Seite selbst, siehe Cross-Site-Scripting; über eine unverschlüsselte Verbindung, auf der sich alles mitlesen lässt; oder über Schadsoftware auf dem Gerät, die die Cookies des Browsers ausliest. Der dritte Weg ist in den letzten Jahren der häufigste geworden, weil fertige Programme dafür gehandelt werden.
Warum Session Hijacking die Anmeldung umgeht
Weil die Sitzung der Nachweis ist, nicht das Passwort. Ein gestohlenes Sitzungsmerkmal wirkt wie eine bereits geöffnete Tür, und daran ändert auch ein zweiter Faktor nichts: Der wurde beim Anmelden geprüft und wird danach nicht noch einmal verlangt. Genau deshalb sind Sitzungsmerkmale für Angreifer so wertvoll geworden, seit Zwei-Faktor-Authentisierung verbreitet ist.
Was gegen Session Hijacking schützt
Vier Maßnahmen, die zusammengehören. Durchgehendes HTTPS schließt das Mitlesen aus; die Schalter HttpOnly und Secure halten Skripte und unverschlüsselte Wege fern; ein neues Sitzungsmerkmal nach jeder Anmeldung verhindert die Fixierung; und eine Sitzung, die nach Untätigkeit endet, begrenzt den Schaden. Für besonders wichtige Vorgänge kommt die erneute Abfrage des Passworts dazu.