¿Qué ataques son más probables contra el servicio de sesión web SSL / TLS?

2

Estoy implementando una api web con la que planeo autorizar el acceso al aceptar un nombre de usuario y contraseña y el nombre del sistema y devolver un id de sesión que se puede usar en llamadas posteriores para autorizar a la persona que llama.

La api solo está disponible a través de SSL 3.0 o TLS 1.0.

¿Cuáles son los principales ataques que serían posibles en este escenario?

La respuesta y los comentarios a esta pregunta SO parecen indicar que si el riesgo de ataque es proporcionalmente bajo, una mayor complejidad no mejorará la seguridad sino que agregará complejidad. Me gustaría conocer las áreas de mayor riesgo de ataque para determinar las contramedidas adecuadas, si es necesario.

    
pregunta Thronk 13.03.2013 - 22:29
fuente

1 respuesta

2

Los ataques contra este sistema se dividen en tres categorías separadas; Autenticación, gestión de sesiones y ataques contra TLS.

  1. Los Pauta de codificación segura de Mozilla para la autenticación detalles los siguientes ataques de preocupación:

    • en línea & adivinación de contraseña de fuerza bruta sin conexión

    • enumeración de usuarios

    • Bloqueo masivo de cuentas (DoS de cuenta)

    • crackeo de hash sin conexión (compensación de tiempo)

    • contraseñas perdidas

  2. La Pauta de codificación segura de Mozilla para la gestión de sesiones Detalla los siguientes ataques de preocupación:

    • secuestro de sesión
    • Fijación de sesión
    • Brute forzando ID de sesión válidas
  3. La hoja de referencia de seguridad de la capa de transporte de OWASP detalla varios     Maneras en que TLS / SSL puede hacerse más seguro. Algunas de las preocupaciones     son:

    • DoS de renegociación

    • Cifras débiles / método de cifrado NULL

    • Certificado no válido

    • divulgar el ID de sesión en un canal inseguro

respondido por el rook 13.03.2013 - 23:37
fuente

Lea otras preguntas en las etiquetas