A2: Broken Authentication and Session Management · 2013

Controles débiles de identidad, credenciales o sesiones permiten suplantación y toma de cuentas

Resumen

Controles débiles de identidad, credenciales o sesiones permiten suplantación y toma de cuentas. El riesgo incluye recuperación insegura, sesiones mal gestionadas y ausencia de defensas contra ataques automatizados.

Cómo funciona el ataque

El inicio de sesión conserva un identificador de sesión conocido antes de autenticar; un atacante puede reutilizar esa sesión.

Ejemplo

Vulnerable · Pseudocódigo

POST /login
Cookie: session=known-id
reuse_session_id()

Corrección: Rotar el identificador al autenticar, invalidar la sesión anterior y proteger cookies y cierre de sesión.

Prevención

Adoptar autenticación multifactor y políticas de credenciales seguras.
Proteger sesiones, rotar identificadores y cerrar sesiones de forma confiable.
Limitar intentos, detectar credenciales comprometidas y evitar cuentas predeterminadas.

Linaje

2013 · A2: Broken Authentication and Session Management Renombrada en 2017
2017 · A2: Broken Authentication Renombrada y baja en 2021
2021 · A07: Identification and Authentication Failures Renombrada desde A2:2017
2025 · A07: Authentication Failures Nombre simplificado

2013:A2 → 2017:A2: El nombre se simplifica y mantiene el puesto 2.
2017:A2 → 2021:A07: Broken Authentication se amplía y cambia de nombre.
2021:A07 → 2025:A07: El nombre se simplifica a Authentication Failures.

Fuentes

Abrir fuente oficial ↗

Invítame un café