Kako upravljate sesijama sigurno?

Question

IT Interview Practice · Accepted Answer

**Upravljanje sesijama** održava korisnike prijavljene kroz zahtjeve — i rad toga na siguran način je bitan, jer ranjivosti sesija (otmičenje, fiksacija) dozvoljavaju napadačima da se lažno predstave kao korisnici. Sigurne sesije uključuju pravilno rukovanje tokenima, sigurnost kolačića i upravljanje životnim ciklom.

## Kako sesije funkcioniraju

```text
After login, the server keeps a SESSION identifying the user across requests:
  → a SESSION ID (or token) is stored client-side (usually a cookie) and sent each request
  → the server uses it to know who the user is (without re-authenticating each time)
→ the session ID/token is effectively a key to the user's account → must be PROTECTED.
```

## Zaštita sesija

```text
✓ SECURE COOKIE flags for session cookies:
  → HttpOnly → JavaScript can't read it (protects against theft via XSS)
  → Secure → sent only over HTTPS (not plaintext)
  → SameSite → not sent on cross-site requests (mitigates CSRF)
✓ Strong, RANDOM, unpredictable session IDs (can't be guessed)
✓ Store session data server-side (or sign/encrypt tokens); transmit over HTTPS only
```

## Životni ciklus sesije i napadi

```text
✗ SESSION HIJACKING → stealing a session ID to impersonate the user (via XSS, network
  sniffing) → prevent with HttpOnly, HTTPS, secure handling
✗ SESSION FIXATION → attacker sets a known session ID, then the victim logs in with it →
  prevent by REGENERATING the session ID on login (privilege change)
✓ EXPIRE sessions → timeouts (idle + absolute); INVALIDATE on logout (server-side)
✓ Regenerate IDs on login/privilege change; allow users to revoke sessions
```

## Zašto je to važno

Razumijevanje sigurnog upravljanja sesijama je važno jer **sesije održavaju korisnike autentiificirane, a ranjivosti sesija dozvoljavaju napadačima da se lažno predstave kao korisnici**, tako da njihovo sigurno rukovanje je bitno, čineći ovo dragocjeno znanje o sigurnosti.

Nakon prijave, server održava sesiju (putem ID sesije ili tokena, obično u kolačiću) da identificira korisnika kroz zahtjeve bez ponovne autentifikacije — i budući da je taj ID sesije u biti **ključ do korisnikovog računa**, zaštita toga je kritična.

Razumijevanje kako **zaštititi sesije** je ključno: korištenje **sigurnih zastava kolačića** za kolačiće sesije — **HttpOnly** (sprječavanje JavaScripta od čitanja kolačića, zaštita od krađe putem XSS-a), **Secure** (slanje samo preko HTTPS-a), i **SameSite** (ne slanje na zahtjeve između web-mjesta, ublažavanje CSRF-a) — korištenje **jakih, nasumičnih, nepredvidivih ID-eva sesije**, i sigurno spremanje podataka sesije.

Ete zaštite izravno štite token sesije.

Razumijevanje **životnog ciklusa sesije i napada** je važno: **otmičenje sesije** (krađa ID sesije da se lažno predstavi kao korisnik, spriječeno putem HttpOnly, HTTPS-a i sigurnog rukovanja), **fiksacija sesije** (napadač postavlja poznat ID sesije prije nego što se žrtva prijavi, spriječeno **regeneracijom ID sesije pri prijavi**), i pravilno upravljanje životnim ciklom (isteka sesija s vremenskim ograničenjima, nevažeće sesije pri odjavi na strani servera, regeneracija ID-eva pri promjenama privilegija, i omogućavanje opoziva sesije).

Razumijevanje ovih napada i njihovih obrana je potrebno da se sprječe napadači od preuzimanja korisničkih sesija.

Budući da sesije održavaju korisnike autentiificirane i sesijske ranjivosti (otmičenje, fiksacija) dozvoljavaju lažnu predstavu računa, i budući da sigurno upravljanje sesijama (sigurne zastave kolačića, jaki ID-evi, pravilni životni ciklus, regeneracija pri prijavi) sprječava ove, i budući da je razumijevanje toga bitno za zaštitu autentiificiranih korisnika, razumijevanje sigurnog upravljanja sesijama je dragocjeno, praktično relevantno znanje o sigurnosti — važno za zaštitu sesija koje održavaju korisnike prijavljene, obranu od otmičenja i fiksacijskih napada koji dozvoljavaju napadačima da se lažno predstave kao korisnici, i ključnu temu za svaku aplikaciju s autentifikacijom.

Kako sesije funkcioniraju

Zaštita sesija

Životni ciklus sesije i napadi

Zašto je to važno

Povezana pitanja