Cookies y gestión de sesión

Una cookie de sesión se defiende con atributos que la envían el servidor y que el navegador respeta. Secure: la cookie solo viaja por conexiones cifradas (HTTPS). HttpOnly: el JavaScript de la página no puede leerla, lo que limita lo que un fallo de inyección de código en la página puede robar. SameSite: controla si el navegador la envía en peticiones que se originan en otros sitios, y reduce la falsificación de peticiones entre sitios. En el catálogo CWE su ausencia se recoge, por ejemplo, como CWE-614 (sin Secure) y CWE-1004 (sin HttpOnly).

Un atributo que falta no es, por sí solo, una intrusión: es una defensa que no está. Eso pesa al asignar severidad.

Antes de mirar atributos hay que saber qué cookie importa. En una respuesta de login salen varias: de idioma, de «recordarme», de protección anti falsificación y la que identifica la sesión autenticada. Los atributos de la de idioma importan poco; los de la de sesión, mucho.

Abre cabeceras-login.txt, localiza cuál es la cookie de sesión por la descripción del equipo de desarrollo y revisa sus atributos uno a uno.

Redactar el riesgo con precisión es lo que separa un hallazgo útil de uno exagerado. Sin Secure, el navegador puede enviar la cookie en una petición HTTP sin cifrar, por ejemplo si el asociado teclea la dirección sin «https» en una red ajena o abierta. Hace falta, pues, una condición adicional (esa red y esa petición), y eso lo coloca como riesgo condicionado, no como acceso directo.

Fíjate también en lo que no pasa: la cookie sid sí lleva HttpOnly, así que el riesgo de lectura por JavaScript no aplica aquí.

Una cookie persistente (con Max-Age o Expires) mantiene la sesión sin que el usuario vuelva a identificarse. Cuanto más dura, más tiempo vale una cookie robada. Max-Age se expresa en segundos, y el cliente debe poder revisar en el informe cuántos días son.

En ids-de-sesion.txt hay tres inicios de sesión seguidos de la cuenta de prueba y el identificador que entregó el portal en cada uno. Si un identificador de sesión se puede deducir del anterior, deja de ser un secreto y la prueba WSTG-SESS-01 lo reporta como esquema débil.

La remediación ataca la causa, que es de dónde sale el valor. Alargarlo o cifrarlo encima del contador no cambia que el contador es lo que lo define.