zbyt długa ważność sesji użytkownika

Zbyt długa ważność sesji użytkownika zwiększa ryzyko jej przejęcia przy pozostawieniu urządzenia bez nadzoru.

Jak działa ważność sesji użytkownika

Zbyt długa ważność sesji użytkownika oznacza, że aplikacja przez nadmiernie długi czas uznaje wcześniejsze uwierzytelnienie za wystarczające do korzystania z konta. Po poprawnym zalogowaniu serwer zwykle tworzy identyfikator sesji albo wydaje token, a przeglądarka zapisuje powiązane dane, często w ciasteczku HTTP. Przy kolejnych żądaniach aplikacja sprawdza ten identyfikator i na jego podstawie rozpoznaje użytkownika bez wymagania hasła przy każdej operacji. Sama obecność aktywnej sesji nie oznacza więc ponownego wpisywania danych logowania, lecz utrzymanie stanu uwierzytelnienia pomiędzy żądaniami.

Czas trwania sesji może być określany na kilka sposobów. Limit bezczynności wygasza sesję po określonym okresie braku aktywności, natomiast limit bezwzględny wymusza ponowne logowanie po ustalonym czasie od zalogowania, nawet jeśli użytkownik cały czas korzysta z aplikacji. Spotyka się również osobne czasy życia dla ciasteczka sesyjnego, rekordu sesji przechowywanego po stronie serwera oraz tokenu odświeżającego. Te wartości nie muszą być identyczne. Problem pojawia się wtedy, gdy którykolwiek z mechanizmów pozwala zachować dostęp dłużej, niż wynika to z rzeczywistej potrzeby użytkownika.

Ryzyko pozostawionego laptopa i przejętego identyfikatora

Najbardziej bezpośrednie zagrożenie występuje wtedy, gdy użytkownik pozostawi odblokowany laptop lub komputer z otwartą aplikacją. Osoba mająca fizyczny dostęp do urządzenia może wtedy wykonywać czynności w ramach już aktywnej sesji: odczytywać dane dostępne na koncie, zmieniać ustawienia albo wysyłać formularze. Długie wygaśnięcie bezczynności wydłuża okres, w którym takie działania są możliwe. Zablokowanie systemu, wylogowanie z aplikacji i zamknięcie przeglądarki ograniczają ryzyko, ale nie zastępują prawidłowego limitu sesji.

Drugi scenariusz dotyczy uzyskania samego identyfikatora sesji, na przykład wskutek złośliwego rozszerzenia przeglądarki, niebezpiecznego oprogramowania działającego na komputerze albo ujawnienia danych zapisanych w profilu przeglądarki. Jeżeli serwer nie unieważni takiego identyfikatora szybko, napastnik może próbować używać go do czasu jego wygaśnięcia. Szyfrowanie połączenia HTTPS chroni dane podczas transmisji, lecz nie usuwa skutków przejęcia identyfikatora na już odblokowanym urządzeniu. Z tego powodu czas życia sesji jest jednym z elementów ograniczających skutki incydentu, a nie jedyną metodą ochrony konta.

W praktyce szczególne znaczenie ma także ponowne uwierzytelnienie przy operacjach wrażliwych. Zmiana hasła, modyfikacja adresu e-mail, dodanie urządzenia zaufanego lub wykonanie czynności finansowej może wymagać wpisania hasła jeszcze raz albo potwierdzenia dodatkowym składnikiem. Taki mechanizm zmniejsza zależność bezpieczeństwa od samego czasu trwania sesji.

Ustawienia, które warto zweryfikować w aplikacji

Podczas sprawdzania problemu należy ustalić, czy aplikacja stosuje limit bezczynności, limit maksymalnego czasu sesji, czy oba jednocześnie. Warto wykonać kontrolowany test: zalogować się, pozostawić aplikację bez aktywności, odczekać zgodnie z konfiguracją, a następnie wysłać nowe żądanie. Wynik powinien wskazać, czy serwer rzeczywiście odrzuca wygasłą sesję, czy tylko interfejs przeglądarkowy nadal wyświetla wcześniej otwartą stronę. Odświeżenie strony może dopiero ujawnić, że identyfikator nie jest już akceptowany.

W przeglądarce można sprawdzić ciasteczka przypisane do danej witryny i ocenić, czy mają atrybuty ograniczające ich użycie. Atrybut Secure powoduje wysyłanie ciasteczka tylko przez połączenie HTTPS, HttpOnly utrudnia odczytanie go przez skrypty JavaScript, a SameSite ogranicza automatyczne dołączanie ciasteczka w części żądań między witrynami. Ustawienia te nie skracają czasu sesji, ale wpływają na sposób, w jaki identyfikator może zostać wykorzystany. Po wylogowaniu serwer powinien unieważnić sesję po swojej stronie, a przeglądarka powinna usunąć odpowiednie dane sesyjne.

Nie należy bez sprawdzenia usuwać wszystkich ciasteczek, ponieważ może to skasować zapisane preferencje lub wylogować użytkownika z wielu niezależnych usług. Przydatniejsze jest usunięcie danych konkretnej witryny, ponowne zalogowanie i obserwacja, czy problem powraca. Jeżeli sesja pozostaje aktywna mimo wylogowania, trzeba sprawdzić, czy aplikacja nie korzysta równocześnie z kilku tokenów, automatycznego odświeżania albo osobnego mechanizmu logowania. W przypadku podejrzenia przejęcia konta rozsądne jest zakończenie wszystkich aktywnych sesji z poziomu ustawień konta i zmiana hasła z zaufanego urządzenia.

Serwisowa ocena ustawień bezpieczeństwa na komputerze

Na laptopie lub komputerze PC można przeanalizować zachowanie przeglądarki, rozszerzeń, lokalnego profilu użytkownika oraz aplikacji, która utrzymuje zbyt długie logowanie. Diagnostyka obejmuje rozróżnienie problemu konfiguracji konta od problemu konkretnego urządzenia: jeżeli sesja wygasa prawidłowo w innej przeglądarce, przyczyną może być lokalny profil, zapisane dane albo rozszerzenie. Jeżeli zachowanie jest identyczne na kilku urządzeniach, większe znaczenie ma konfiguracja samej aplikacji lub jej usługi uwierzytelniającej.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki może również sprawdzić lokalne ustawienia przeglądarki, działanie rozszerzeń oraz objawy utrzymywania nieprawidłowej sesji użytkownika. Właściwa korekta powinna obejmować ustawienie rozsądnego limitu bezczynności i czasu maksymalnego, sprawdzenie procesu wylogowania oraz potwierdzenie, że po wygaśnięciu serwer nie akceptuje wcześniejszego identyfikatora.