Thiết kế thời hạn phiên theo rủi ro và tính dễ dùng

Bảng điều hành vận hành và quầy dịch vụ dùng chung không cần hành vi phiên giống nhau. Phiên dài giảm gián đoạn nhưng kéo dài thời gian tài khoản bị bỏ quên còn dùng được. Phiên ngắn có thể cản trở công việc hợp lệ. Khách hàng nên yêu cầu chính sách rõ cho từng luồng quan trọng thay vì nhận mặc định nền tảng không có giải thích.

Phân biệt không hoạt động và tổng thời gian

OWASP phân biệt thời hạn không hoạt động với thời hạn tuyệt đối. Loại đầu xét việc không có hoạt động, còn loại sau giới hạn phiên bất kể hoạt động.[8] Hỏi sự kiện nào phía máy chủ được tính là hoạt động. Việc làm mới nền không nên âm thầm quyết định chính sách nghiệp vụ.

Nên ghi môi trường sử dụng, độ nhạy cảm dữ liệu, thời gian làm việc dự kiến và hệ quả khi bỏ thiết bị trước khi chọn giá trị. Thiết bị dùng chung cần xem xét riêng với thiết bị cá nhân được quản lý. Không chép thời hạn ví dụ từ tài liệu sang mọi ứng dụng mà không rà soát quy trình thực tế.

Để máy chủ quyết định cuối cùng

OWASP xác định việc quản lý thời hạn và hết hạn phải được thực thi phía máy chủ.[8] Bộ đếm trên trình duyệt có thể cảnh báo khách, nhưng trình duyệt không được quyết định phiên đã hết hạn còn hợp lệ hay không.

Yêu cầu nhóm phân biệt hết hạn phiên, đăng xuất chủ động và xác thực lại cho thao tác nhạy cảm. OWASP cũng cảnh báo sự kiện đóng trình duyệt không thực thi đăng xuất một cách đáng tin cậy.[8] Không chấp nhận đóng thẻ là cách duy nhất kết thúc truy cập. Cần thao tác đăng xuất rõ ràng và hành vi vô hiệu hóa được xác định.

Ví dụ giả định: báo cáo kiểm tra dài

Trong cổng kiểm tra giả định, khách viết báo cáo chi tiết rồi dừng để xem thiết bị. Nhóm chọn cảnh báo trước khi hết hạn không hoạt động và cơ chế bản nháp có kiểm soát. Bản nháp gắn với tài khoản được phép, không được mở qua liên kết khôi phục công khai.

Buổi diễn tập để trang mở quá hạn rồi thử gửi. Máy chủ yêu cầu đăng nhập lại và sau đó khách chỉ lấy được bản nháp được phép. Ca nghiệm thu giả định này không đặt thời hạn chung cho mọi nơi, cũng không chứng minh lưu bản nháp phù hợp với mọi loại dữ liệu.

Kiểm thử các ranh giới bất tiện

Cảnh báo phía trình duyệt có thể cải thiện trải nghiệm, nhưng OWASP xem đó là phần bổ sung cho kiểm soát máy chủ.[8] Đưa lỗi cảnh báo và hành vi nền vào bằng chứng nghiệm thu.

• Ghi thời hạn không hoạt động và tuyệt đối cho từng môi trường sử dụng được hỗ trợ.
• Quy định yêu cầu nào kéo dài thời gian hoạt động và yêu cầu nào không.
• Kiểm thử máy chủ từ chối sau hết hạn khi JavaScript bị tắt hoặc gián đoạn.
• Kiểm tra đăng xuất chủ động trên nhiều thẻ theo mô hình phiên được hỗ trợ.
• Rà soát quyền lấy lại bản nháp và dữ liệu nhạy cảm lưu cục bộ.

Bảo vệ công việc mà không kéo dài thừa quyền

Tự lưu và kéo dài phiên giải quyết hai vấn đề khác nhau. Tự lưu tạo dữ liệu cần bảo vệ và dọn dẹp riêng. Phiên dài duy trì quyền truy cập lâu hơn. Cùng chủ sở hữu nghiệp vụ rà soát cả hai lựa chọn. Kết quả cần đạt là cách quay lại làm việc có thể dự đoán, không phải âm thầm kéo dài thẩm quyền mỗi khi giao diện gây bất tiện.