Applications web : sécuriser la session utilisateur

http://cyberzoide.developpez.com/securite/session/


Cet article présente les risques inhérents à la création d'une session utilisateur dans une application web.
Quelques bonnes pratiques de sécurité permettront aux développeurs de mieux employer les sessions.

I. Introduction

II. Attaques
A. Buffer overflow
B. SQL injection
C. Cookie poisoning
D. Session hijacking
E. Cross-site scripting
III. Solutions
A. Protocole HTTPS
B. Cookie SSL
C. Durée de session limitée
D. Déconnexion explicite
E. Identifiant de session initié par le serveur
F. Identifiant de session non prédictible
G. Identifiant de session forgé après authentification
H. Champs mot de passe protégé
I. Contrôle des paramètres
J. Gestion correcte des erreurs
K. Pas d'information sur les habilitations en paramètre
L. Pas de stockage en clair des mots de passe
M. Protection des données de session
N. Session liée à un seul utilisateur physique
IV. Tableau récapitulatif des menaces et parades
V. Conclusion