la sécurité des applications Web

Question

Je teste une application web pour les questions de sécurité et je suis tombé sur le scénario suivant:

1. journaux utilisateur dans l'application. Application définit les cookies de session dans le navigateur.
2. L'utilisateur désactive les cookies dans le navigateur lorsqu'il est encore authentifié. Je sais que cela semble étrange, mais peut-être que le navigateur de l'utilisateur est exploité d'une manière ou d'une autre.
3. L'utilisateur se déconnecte mais l'application ne parvient pas à supprimer les cookies de session dans le navigateur. L'application n'émet pas d'avertissement à ce sujet à l'utilisateur et se comporte comme s'il était déconnecté correctement.
4. Les cookies de session de l'application, qui ont une heure d'expiration depuis la dernière demande, sont laissés dans le navigateur pour un autre utilisateur à exploiter.

Ma question est la suivante: est-ce que cela devrait être considéré comme une vulnérabilité dans l'application ou est-ce que tout le scénario est trop loin? Mon avis est que puisque l'application repose exclusivement sur des cookies pour l'authentification et la gestion de session, il est de la responsabilité de l'application d'avertir l'utilisateur de ne pas pouvoir supprimer les cookies lors de la déconnexion.

Appréciez les réponses!

Answer 1

Si une action de l'utilisateur peut nuire à votre système de sécurité, il y a un trou de sécurité.

Dans ce cas, je suggère que le serveur conserve une liste (table DB ou autre magasin pesistant) de cookies et que lorsque l'utilisateur se déconnecte, il supprime son cookie de la liste. Si vous voyez plus tard le cookie, il ne sera pas accepté car il ne figure pas dans la liste.