Защита Node.js: управление сессиями в Express.js

Что тут происходит

Мы импортируем функцию сеанса из модуля NPM экспресс-сеанса и передаем функции сеанса объект конфигурации для установки таких свойств, как:

• Хранить. Я использую MongoDB в качестве бэкэнда и хочу сохранить сеансы приложений в моей базе данных, поэтому я использую модуль connect-mongo NPM и устанавливаю значение хранилища сеансов для экземпляра этого модуля. Однако вы можете использовать другой бэкэнд, поэтому ваш магазин может отличаться. По умолчанию для экспресс-сессии используется хранилище в памяти.

• Секрет.  Это значение используется при подписании идентификатора сеанса, который хранится в файле cookie.

• Cookie.  Это определяет поведение файла cookie HTTP, в котором хранится идентификатор сеанса.

Мы вернемся к некоторым элементам, которые я не упомянул здесь в ближайшее время. А пока давайте посмотрим на первое изменение, которое нам необходимо внести с помощью безопасного управления пользовательскими сеансами в нашем приложении.

Session Hijacking

Наиболее распространенным риском, с которым сталкиваются пользовательские сессии, является перехват сеансов. Сессии очень похожи на водительские права или паспорт и обеспечивают идентификацию для наших пользователей. Если злоумышленник может украсть сеанс другого пользователя, он, по сути, стал этим другим человеком и может использовать пользователя или совершать злоумышленные действия от имени этого пользователя. Риск еще больше, когда личность принадлежит кому-то с повышенными привилегиями, например администратору сайта.

Идентификация сессии

Первый шаг, который выполнит любой злоумышленник, — это разведка, чтобы определить, где находятся уязвимости в вашем приложении. Частью этой разведки является наблюдение контрольных признаков базовой платформы, сторонних модулей и любого другого программного обеспечения, которое само по себе может содержать уязвимости, которые могут быть использованы.

В случае наших сеансов контрольным знаком является имя файла cookie сеанса connect.sid, который может помочь злоумышленнику определить используемый механизм сеанса и найти конкретные уязвимости.  

Совет: Конечно, мы не хотим использовать уязвимое программное обеспечение. Однако безопасное программное обеспечение сегодня может оказаться уязвимым завтра с ошибочным обновлением. Таким образом, скрытие подробностей о нашем приложении может помочь злоумышленнику значительно усложнить его использование. 

Поэтому, первое, что мы хотим сделать, это сделать так, чтобы как можно сложнее определить, какой механизм сеанса используется, давайте обновим наш объект конфигурации сеанса с помощью свойства name:

 app.use(session({
        store: new MongoStore({
            dbPromise: connectionProvider(serverSettings.serverUrl, serverSettings.database)
        }),
        secret: serverSettings.session.password,
        saveUninitialized: true,
        resave: false,
        cookie: {
            path: "/",
        }

       name: "id"
    }));

app.use(session({
   store: new MongoStore({
       dbPromise: connectionProvider(serverSettings.serverUrl, serverSettings.database),
       ttl: (1 * 60 * 60)
   }),
   //remaining - removed for brevity
}));

app.use(session({
       //..previous removed for brevity

        cookie: {
            path: "/“,
       maxAge:  1800000  //30 mins
        }
}));

session.Session.prototype.login = function(user){
        this.userInfo = user;
};

authenticationRouter.route("/api/user/login")
    .post(async function (req, res) {
        try {

          //removed for brevity….

          req.session.login(userInfo, function(err) {
            if (err) {
               return res.status(500).send("There was an error logging in. Please try again later.");
            }
          });
        //removed for brevity….
     });

session.Session.prototype.login = function (user, cb) {
   const req = this.req;
   req.session.regenerate(function(err){
      if (err){
         cb(err);
      }
   });

   req.session.userInfo = user;
   cb();
};

Set-cookie: mycookie=value; path=/; HttpOnly

app.use(session({
       //..previous removed for brevity

        cookie: {
            path: “/“,
            httpOnly: true,
       maxAge:  1800000
        }
}));

Set-cookie: mycookie=value; path=/; HttpOnly secure

app.use(session({
       //..previous removed for brevity

        cookie: {
            path: “/“,
            httpOnly: true,
            secure: true,
            maxAge:  1800000
        }
}));