Wie verhindert Ihr Sessionübernahmen?

[Tom]

Hello,

Wenn ich jetzt nicht einen groben Denkfehler habe ist dieses Szenario möglich?

Ja, das ist möglich und auch machbar.

Ein Cookie als Unterscheidungsmerkmal verschiedener PCs ist eben doch nicht atomar sondern teilbar.

Ganz im Gegenteil: Ein Cookie als Unterscheidungsmerkmal verschiedener PCs ist atomar und doch nicht teilbar. Wenn es teilbar wäre, könnte die eine Hälfte gegen die andere verifiziert werden, was insbesondere beim Hinzutreten der Zeit für die Gültigkeitsdauern der Hälften als relativ sichere Methode (außer gegen direktes abhören) gerechnet werden kann.

Wenn nun zur einen Hälfte z.B. drei Mal die falsche andere Hälfte mitgeschickt wird, werden beide gesperrt. Das führt zwar auch zum logischen Verbindungsabbruch der führenden einen richtigen Hälfte oder sogar beiden, aber die können sich ja mittels ihrer passenden Teile sofort wieder anmelden und bekommen eine Warnung, dass ihre Verbindung gestört wurde.

Wenn man nun beide Hälften mit derselebn Anfrae auf unterschiedlichen Wegen transportieren lässt und diese erst im Ziel wieder montieren lässst, hat man die Sicherheit nochmals erhöht. Besser wäre dann noch Verschlüsselung für die Übermittlung.

Wie schützt Ihr euch davor?

Gar nicht, weils nichts gibt, sich davor zu schützen.
User-A wird in jedem Fall schuldig gesprochen und erschossen, basda.

Hotte

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg