Управление сеансами

1. Управление сеансами

УПРАВЛЕНИЕ СЕАНСАМИ
ИНФОРМАТИКА ПИ-268
СЫРЧИНА АНАИДА
ГАЙНУЛЛИНА РУФИНА

2. Что такое сеанс?

ЧТО ТАКОЕ
СЕАНС?
Сеанс (session) — это период взаимодействия пользователя
с информационной системой, который начинается при
подключении или входе пользователя и заканчивается при
выходе или истечении времени.
ПОЛЬЗОВАТЕЛЬ
ВХОД В АККАУНТ
РАБОТА С
СИСТЕМОЙ
ВЫХОД

3. Что такое управление сеансами?

ЧТО ТАКОЕ УПРАВЛЕНИЕ СЕАНСАМИ?
Управление сеансами — это процессы, которые позволяют системе:
создавать сеанс пользователя
идентифицировать пользователя
сохранять состояние сеанса
контролировать активность
ограничивать срок действия
завершать сеанс

4. Как создаётся сеанс?

Основная последовательность:
КАК СОЗДАЁТСЯ
СЕАНС?
1. Ввод данных
Логин и пароль
↓
2. Проверка данных
Система подтверждает личность
↓
3. Создание сеанса
Формируется уникальный идентификатор
↓
4. Работа пользователя
Система распознаёт его запросы

5. Идентификация, аутентификация и авторизация

ИДЕНТИФИКАЦИЯ, АУТЕНТИФИКАЦИЯ И АВТОРИЗАЦИЯ
Идентификация
• «Кто ты?» - логин или имя пользователя
Аутентификация
• «Докажи, что это ты» - пароль, код, биометрия
Авторизация
• «Что тебе разрешено?» - права и доступ к функциям
Пример:
Вход в интернет-банк → подтверждение личности → доступ
только к разрешённым операциям.

6. Как система «помнит» пользователя?

КАК СИСТЕМА «ПОМНИТ» ПОЛЬЗОВАТЕЛЯ?
Основные технологии:
Cookies
• Небольшие данные, которые сохраняются в браузере
Session ID
• Уникальный идентификатор сеанса
Токены
• Специальные данные, подтверждающие состояние или права
пользователя

7. Жизненный цикл сеанса

Можно сделать горизонтальную схему:
ЖИЗНЕННЫЙ
ЦИКЛ СЕАНСА
Создание
↓
Аутентификация
↓
Активный сеанс
↓
Проверка активности
↓
Продление или завершение
Сеанс может завершиться:
пользователь нажал «Выйти»
истёк срок действия
долго отсутствовала активность
система принудительно завершила сеанс

8. Безопасность управления сеансами

БЕЗОПАСНОСТЬ УПРАВЛЕНИЯ СЕАНСАМИ
Основные меры защиты:
использование HTTPS
уникальные идентификаторы сеансов
ограничение времени действия
автоматический выход при бездействии
защита cookies
двухфакторная аутентификация
завершение всех активных сеансов при
необходимости.

9. Какие существуют угрозы?

Основные угрозы:
КАКИЕ
СУЩЕСТВУЮТ
УГРОЗЫ?
• Кража сеанса
Злоумышленник получает идентификатор
действующего сеанса.
• Перехват данных
Данные пользователя могут быть перехвачены при
небезопасном соединении.
• Фиксация сеанса
Злоумышленник пытается заставить пользователя
использовать известный ему идентификатор сеанса.
• Открытый аккаунт
Пользователь забыл выйти из аккаунта на чужом
компьютере.

10. Управление сеансами необходимо для того, чтобы:

УПРАВЛЕНИЕ СЕАНСАМИ НЕОБХОДИМО ДЛЯ ТОГО, ЧТОБЫ:
защищать аккаунты
Главная мысль:
без безопасного управления сеансами невозможно обеспечить
надёжную работу большинства современных информационных систем.
распознавать
пользователей
сохранять состояние
работы
контролировать время
доступа
снижать риск
несанкционированного
доступа

11. Спасибо за внимание!

СПАСИБО ЗА ВНИМАНИЕ!