Kako varno upravljate seje?

Question

Accepted Answer

**Upravljanje sej** omogoča ohranitev prijavljenih uporabnikov med zahtevki — in to varno je pomembno, saj ranljivosti sej (prevzem seje, fiksiranje seje) omogočajo napadalcem, da se izdajajo za uporabnike. Varne seje vključujejo pravilno ravnanje z žetoni, varnost piškotkov in upravljanje životnega ciklusa.

## Kako delujejo seje

```text
After login, the server keeps a SESSION identifying the user across requests:
  → a SESSION ID (or token) is stored client-side (usually a cookie) and sent each request
  → the server uses it to know who the user is (without re-authenticating each time)
→ the session ID/token is effectively a key to the user's account → must be PROTECTED.
```

## Zavarovanje sej

```text
✓ SECURE COOKIE flags for session cookies:
  → HttpOnly → JavaScript can't read it (protects against theft via XSS)
  → Secure → sent only over HTTPS (not plaintext)
  → SameSite → not sent on cross-site requests (mitigates CSRF)
✓ Strong, RANDOM, unpredictable session IDs (can't be guessed)
✓ Store session data server-side (or sign/encrypt tokens); transmit over HTTPS only
```

## Življenjski cikel seje in napadi

```text
✗ SESSION HIJACKING → stealing a session ID to impersonate the user (via XSS, network
  sniffing) → prevent with HttpOnly, HTTPS, secure handling
✗ SESSION FIXATION → attacker sets a known session ID, then the victim logs in with it →
  prevent by REGENERATING the session ID on login (privilege change)
✓ EXPIRE sessions → timeouts (idle + absolute); INVALIDATE on logout (server-side)
✓ Regenerate IDs on login/privilege change; allow users to revoke sessions
```

## Zakaj je to pomembno

Razumevanje varnega upravljanja sej je pomembno, ker **seje ohranjajo avtentičnost uporabnikov, in ranljivosti sej omogočajo napadalcem, da se izdajajo za uporabnike**, zato je varno ravnanje z njimi bistveno, kar to naredi dragocenim znanjem o varnosti.

Po prijavi server vzdržuje sejo (prek ID-ja seje ali žetona, običajno v piškotku) za identifikacijo uporabnika med zahtevki brez ponovne avtentikacije — in ker je ta ID seje dejansko **ključ do računa uporabnika**, je njegova zaščita kritična.

Razumevanje, kako **zavarovati seje**, je ključno: uporaba **zaščitenih zastavic piškotkov** za piškotke sej — **HttpOnly** (preprečevanje dostopa JavaScripta do piškotka, zaščita pred krajo prek XSS), **Secure** (pošiljanje samo prek HTTPS) in **SameSite** (nepošiljanje pri zahtevkih med spletnimi mesti, zmanjšanje tveganja CSRF) — uporaba **močnih, naključnih, nepredvidljivih ID-jev sej** in varno shranjevanje podatkov seje.

Te zaščite neposredno varujejo žeton seje.

Razumevanje **življenjskega ciklusa seje in napadov** je pomembno: **prevzem seje** (kraja ID-ja seje za izdajanje za uporabnika, preprečeno s HttpOnly, HTTPS in varnim rokovanjem), **fiksiranje seje** (napadalec nastavi znan ID seje pred prijavom žrtve, preprečeno s **regeneracijo ID-ja seje ob prijavi**) in pravilno upravljanje životnega ciklusa (poteka sej s časovnimi mejami, invalidiranje ob odjavi na strežniku, regeneracija ID-jev pri spremembah pravic in omogočanje preklic sej).

Razumevanje teh napadov in njihovih obramb je potrebno za preprečevanje, da bi napadalci prevzeli seje uporabnikov.

Ker seje ohranjajo avtentičnost uporabnikov in ranljivosti sej (prevzem seje, fiksiranje seje) omogočajo prevzem računa, in ker varno upravljanje sej (zaščiteni piškotki, močni ID-ji, pravilni življenjski cikel, regeneracija ob prijavi) to preprečuje, in ker je razumevanje tega bistveno za zaščito avtentičnih uporabnikov, je razumevanje varnega upravljanja sej dragoceno, praktično relevantno znanje o varnosti — pomembno za zaščito sej, ki ohranjajo uporabnike prijavljene, obrambo pred prevzemom seje in napadom fiksiranja seje, ki omogočata napadalcem, da se izdajajo za uporabnike, in ključna tema za vsako aplikacijo z avtentifikacijo.