Fijación, cierre y expiración de la sesión

La fijación de sesión (CWE-384) aparece cuando la aplicación no cambia el identificador de sesión al autenticar. Si el valor que tenía el visitante anónimo es el mismo que tendrá ya autenticado, quien lo conociera de antes tiene la sesión del usuario en cuanto este inicie sesión. La remediación es renovar el identificador en el momento del login e invalidar el anterior.

La prueba compara el identificador antes y después de autenticar, en cada entrada que acepte credenciales.

Lee login-antes-y-despues.txt. El portal tiene dos entradas, la de asociados y la del personal, y no hay por qué esperar que las dos estén construidas igual. La prueba se hace en cada una, y el hallazgo señala la ruta donde ocurre, no «el portal» en general.

El botón «Salir» tiene dos trabajos: borrar la cookie del navegador y, sobre todo, invalidar la sesión en el servidor. Solo el segundo protege. Si el servidor no la invalida, cualquiera que tenga anotado el valor de la sesión sigue dentro, aunque la víctima ya haya salido; en un equipo compartido o con un valor filtrado, eso es lo que importa.

Lee cierre-de-sesion.txt. El paso 3 reenvía a mano el valor anotado en el paso 1, dentro de la sesión propia del equipo de prueba.

El documento de seguridad del cliente fija un plazo de inactividad. La prueba no lo da por bueno: deja la sesión sin actividad y comprueba, con una petición de control, si el plazo se cumple. La cifra que va al informe es el tiempo transcurrido entre la última actividad y la petición que aún respondió 200, en minutos.

Un hallazgo se rotula con la prueba de la guía que lo cubre, para que el cliente y otros revisores puedan ubicarlo. La numeración de la guía es estable en estas pruebas y se cita junto al nombre.