Was eine gestohlene Session einem Angreifer wirklich ermöglicht
Ein Session-Token ist der Nachweis, dass sich jemand bereits angemeldet hat. Ein Angreifer, der ein gestohlenes Cookie besitzt, ist im Konto – ohne Passwort und ohne Multi-Faktor-Authentifizierung auszulösen. Beides wurde bereits beim Start der Session erfüllt. Eine nachträgliche Passwortänderung beendet den Zugriff nicht; nur das Invalidieren der Session tut dies.
Diese Tatsache allein macht das Thema relevant für Awareness-Schulungen und nicht nur für die technische Dokumentation. Mitarbeitern wurde vermittelt, dass Multi-Faktor-Authentifizierung das Konto schützt – und das stimmt, bis zu dem Moment, in dem der Token durch Malware, eine bösartige Browser-Erweiterung oder eine Proxy-Phishing-Seite, die sich zwischen Nutzer und echten Login schaltet, entwendet wird. Was nicht in der veröffentlichten Version enthalten sein sollte, sind Live-Token- oder Cookie-Werte, auch gekürzte, da ein Schulungsmaterial, das ein echtes Session-Artefakt enthält, ein Risiko darstellt, das die Schulung überdauert.
Die Vorlage begleitet eine gestohlene Session durch sieben Szenen: eine erklärt, was eine Session einfach ausgedrückt ist; zwei zeigen die drei Wege, auf denen Tokens entwendet werden; eine beleuchtet, warum ein Passwort-Reset keine Lösung ist; eine zeigt Anzeichen, die Nutzer tatsächlich bemerken können; eine erklärt die korrekte Meldung; und eine beschreibt, was das Sicherheitsteam unternimmt, um Sessions zu beenden.
.PNG)
.PNG)
.PNG)
