Sesiones concurrentes y revocación desde el usuario

5 tareas · 40 min · Principiante

Una persona que sospecha que alguien entró a su cuenta hace lo que la aplicación le ofrece: mira sus dispositivos, cierra las demás sesiones y cambia la contraseña. Si esos botones no hacen lo que dicen, la persona se queda tranquila y el intruso sigue dentro. En Facturas Sativanorte pasó justo eso, y con autorización escrita te entregan la política, el código de los dos botones y lo que había en el almacén de sesiones a las seis de la tarde.

0 de 5 · 0%

Objetivo de la sala

Permitir varias sesiones a la vez (el portátil, el teléfono, la tableta) es una decisión de diseño, y cualquiera de las dos respuestas es válida si está escrita. Lo que no es opcional es que la persona pueda ver sus sesiones abiertas y cerrar las que no reconoce, y que esa lista y ese botón trabajen sobre la misma fuente que usa el servidor para aceptar peticiones. La guía de sesión de OWASP recomienda además avisar cuando se abre una sesión nueva y guardar un historial con el origen de cada una.

Cambiar la contraseña tiene que arrastrar lo mismo: si la contraseña cambió porque alguien la conocía, las sesiones que ese alguien abrió con ella deben terminar en ese momento.

Responde para continuar

Al pulsar «Cerrar las demás sesiones», ¿qué debe pasar para que el botón sirva de algo?

Que las otras sesiones se borren del almacén que consulta el servidor en cada petición Que desaparezcan de la pantalla «Tus dispositivos» para que la persona vea solo la actual Que se avise por correo a la persona de cuántas sesiones tenía abiertas en ese momento

Ver pista de ayuda

Una sesión termina donde se decide si una petición es válida.

La política dice cuántas sesiones puede tener abiertas un usuario a la vez. El código del ingreso dice si alguien lo cuenta. Compara la política con la copia del almacén de la cuenta en el laboratorio.

Responde para continuar

¿Cuántas sesiones tenía vivas la cuenta m.urrego en el almacén a las 18:00? Escribe solo el número.

La pantalla que muestra los equipos de la persona no lee el almacén de sesiones: lee otra cosa. Abre el código de esa pantalla en el laboratorio y compara las dos copias de la misma hora.

Responde para continuar

¿Qué tabla limpia el botón «cerrar las demás sesiones»? Escribe su nombre tal como aparece en el código.

Después del botón vino el cambio de contraseña. Lee contrasena.js para ver a qué sesiones afecta y busca en registro-cuenta.txt qué pasó después.

Responde para continuar

¿Qué referencia de sesión siguió exportando facturas después del cambio de contraseña?

El equipo pregunta qué cambiar primero. Elige el conjunto que cierra lo que viste.

Responde para continuar

¿Qué recomiendas?

Que la tabla de la pantalla se actualice con cada petición, para que la pantalla muestre siempre el último uso real Que la pantalla y el botón lean y borren el almacén de sesiones, y que cambiar la contraseña cierre las demás Que la política suba el máximo a cinco sesiones, porque la gente usa más dispositivos que antes

Ver pista de ayuda

Una opción cambia la fuente de verdad; otra solo la pinta mejor; la otra cambia la regla para que el fallo deje de verse.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Ver y cortar

2 Cuántas había de verdad Lab

3 Lo que borra el botón Lab

4 La sesión que siguió Lab

5 El arreglo Lab

Whoami-Labs Pro utiliza cookies