note 104793 deleted from security by danbrown

Note Submitter: ralf at aol dot com Reason: non-english ---- Ebene: Logik, Implementierung Das Session Management ist die problematischste Stelle für die Sicherheit von Web-Anwendungen Session ID nach Authentifizierung erneuern Sessiondaten speichern Alte Session invalidieren Neue Session erstellen Gespeicherte Daten in neue Session kopieren Cookie einschränken Auf minimalen Aktionsradius beschränken Pfad- und Domain-Einschränkung angeben Reine Domain-Cookies vermeiden Secure-Flag setzen, wenn es sich um eine HTTPS-Web-Seite handelt Session beenden Jede Session ist aktiv zu beenden Wenn Benutzer Session nicht beendet, muss sie nach einer maximalen Lebenszeit beendet werden Erkennbar durch Zahl der Zugriffe innerhalb einer Zeitspanne überschreitet übliches Maß Zugriffsparameter werden nach einem regelmäßigen Muster variiert Zugriff immer von der selben IP-Adresse Abwehrmaßnahmen Verzögerung des Zugriffs Zeit für Zugriff in die Länge gezogen Legitime Benutzer dürfen das nicht als übermäßig störend empfinden Verhindern von automatischen Zugriffen Abfrage zusätzlicher Eingaben, die ein Programm nicht liefern kann Benutzer muss Text aus Captcha-Graphik erkennen und in vorgesehenes Feld eingeben Nicht brauchbar: Blockieren des Zugriffs Legitime Benutzer behindert Ebene: Semantik, Logik Mit Benutzerkennung sorgsam umgehen Benutzerkennung sollte als nicht-öffentliche Information behandelt werden Nicht die E-Mail-Adresse verwenden Kein Schema wie vorname.nachname o.ä. verwenden Nicht ableitbare Komponenten für Benutzerkennnung verwenden Anwendung darf keine Hinweise über Vorhandensein von Kennung geben M280 Enumeration Folgende Operationen sollten immer verschlüsselt sein, auch wenn der Rest der Anwendung dies nicht benötigt: Registrierung Login Zugriff auf persönliche Daten Passwort-Änderung „Passwort vergessen“ Funktion Gleichzeitig sollte ein Ausspähen der Session ID nicht möglich sein