Si une application web conserve le même identifiant de session avant et après la connexion, un attaquant peut amener l'utilisateur à utiliser un identifiant de session préparé à l'avance, puis, une fois l'utilisateur connecté, usurper son identité avec cet identifiant. Quelle est la contre-mesure la plus appropriée contre cette attaque ?

Réponse : B. Émettre un nouvel identifiant de session lorsque la connexion réussit et invalider l'identifiant précédent

Cette attaque s'appelle la fixation de session (session fixation). Une application web reconnaît un utilisateur connecté grâce à un identifiant de session transmis dans un cookie ou par un moyen similaire. Si un attaquant peut amener l'utilisateur à utiliser, avant la connexion, un identifiant de session qu'il connaît, et que cet identifiant reste utilisé après la connexion, l'attaquant peut accéder au site en tant que l'utilisateur avec le même identifiant. La contre-mesure consiste à émettre un nouvel identifiant de session imprévisible au moment où la connexion réussit, et à invalider l'ancien. L'identifiant que l'attaquant connaissait avant la connexion devient alors inutile. Les attaques qui usurpent l'identité des utilisateurs en volant ou en devinant leur identifiant de session sont appelées de manière générale détournement de session (session hijacking) ; on les contre en combinant des mesures comme des identifiants aléatoires suffisamment longs, une transmission uniquement par HTTPS (attribut Secure du cookie) et l'absence d'identifiant dans les URL (où il fuit facilement par l'en-tête Referer ou l'historique). Les identifiants séquentiels sont faciles à deviner et dangereux.