Con respecto a la administración de sesiones

Es un poco difícil entender lo que estás preguntando. Creo que estás preguntando cómo calificar la gravedad de un ataque de repetición de autenticación.

Las preguntas que debes hacer son:

• ¿Cuál es el riesgo para usted o su cliente de que un usuario no autenticado acceda a los datos? Si no tuviera ningún impacto, entonces probablemente sea de bajo riesgo. Si pudieran destruir las bases de datos, realizar pagos o realizar tareas destructivas, es probable que sea importante.
• ¿hay otros controles implementados para detectar sus actividades una vez que haya iniciado sesión?
• ¿la red y la computadora están protegidas de manera que un atacante no pueda usar una herramienta como eructar en la práctica? Si es así, probablemente no sea tan importante.

Lo que hay que recordar es que depende del entorno, el cliente, la aplicación, el uso, los usuarios, etc.

Si desea protegerse contra las malas compras, robe las sesiones de sus usuarios y proteja los datos si lo hacen.

1. Use HTTPs de la forma en que el atacante debe atacar a la víctima y hay alguna advertencia en forma de error de certificado (que el usuario probablemente ignorará de todos modos)
2. Determine cuánto tiempo normalmente pasará un usuario en su sitio y tómese un tiempo de espera absoluto para que, si un atacante toma un token de autenticación, no tenga acceso continuo
3. Asegúrese de que el marco que está usando genere buenos tokens de autenticación aleatorios para que no puedan ser adivinados
4. Cualquier acción súper importante, como cambiar una contraseña o información financiera, debe requerir que ingresen su contraseña nuevamente en lugar de confiar en el token de autenticación.
5. ¡No recopile ni almacene datos confidenciales si no los necesita absolutamente!
6. Si tiene datos confidenciales, intente realmente no mostrarlos nunca. Si necesita mostrarlo, solo muestre parte de él como los últimos 4 de un SSN en lugar del SSN completo.
7. Asegúrese de que los datos confidenciales estén encriptados y de que las contraseñas estén incluidas en la base de datos.

Hay más en ello, pero creo que esos son los elementos principales. Si alguien tiene más, por favor ponte el timbre!