เจาะลึก SessionStorage ใน Soft PHP MVC ความปลอดภัยเว็บ
เรียนรู้การจัดการเซสชันใน Soft PHP MVC ผ่านคลาส SessionStorage ที่ควบคุมทั้ง lifetime ระยะเวลา 8 ชั่วโมง, timeout 30 นาที, และระบบป้องกัน session fixation
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- SessionStorage ใน Soft PHP MVC ใช้รูปแบบ singleton เพื่อป้องกัน race condition ของ PHP
- ระบบแยกความต่างระหว่าง lifetime (สูงสุด 8 ชั่วโมง) และ timeout (ไม่ใช้งาน 30 นาที)
- แฟลชเซสชันช่วยส่งข้อมูลฟอร์มครั้งเดียวหลัง redirect ผ่านคีย์ _flash
- การเรียก regenerateId() หลังล็อกอินช่วยป้องกันการโจมตีแบบ session fixation
การจัดการเซสชันในเว็บแอปพลิเคชันไม่ใช่แค่เรื่องของความสะดวก แต่เป็นหัวใจสำคัญด้านความปลอดภัย เนื่องจากผู้ที่ควบคุมเซสชันย่อมควบคุมตัวตนของผู้ใช้งานได้ คุกกี้เซสชันที่ถูกขโมยหรือ ID ที่คาดเดาได้ง่ายสามารถเปิดทางให้ผู้ไม่หวังดีเข้าถึงบัญชีผู้ใช้ได้อย่างสมบูรณ์ คลาส SessionStorage จึงถูกพัฒนาขึ้นมาเพื่อทำหน้าที่เป็น singleton จัดการทุกอย่างเกี่ยวกับเซสชันในเฟรมเวิร์ก Soft PHP MVC โดยถูกบังคับใช้รูปแบบนี้เพราะฟังก์ชัน session_start() ของ PHP สามารถเรียกใช้งานได้เพียงครั้งเดียวต่อหนึ่งคำขอเท่านั้น การมีหลายอินสแตนซ์พยายามจัดการเซสชันพร้อมกันอาจก่อให้เกิดปัญหา race condition และพฤติกรรมที่ไม่คาดคิดได้
ภายในคอนสตรัคเตอร์ของคลาส ก่อนที่จะเริ่มเซสชัน ระบบจะทำการกำหนดค่าสถานะความปลอดภัยของคุกกี้อย่างเข้มงวดเพื่อปิดกั้นช่องโหว่การโจมตีที่พบบ่อยที่สุด ซึ่งการกำหนดค่าเหล่านี้ถูกมองว่าเป็นเกณฑ์ขั้นต่ำที่จำเป็นสำหรับการจัดการเซสชันที่ปลอดภัย นอกจากนี้ SessionStorage ยังมีการแยกแยะระหว่างแนวคิดเรื่อง lifetime และ timeout ที่นักพัฒนามักสับสนกันบ่อยครั้ง โดย lifetime คือระยะเวลาสูงสุดของเซสชันที่กำหนดไว้ 8 ชั่วโมง ซึ่งจะหมดอายุไม่ว่าผู้ใช้จะใช้งานอยู่หรือไม่ก็ตาม ทั้งฝั่งเซิร์ฟเวอร์ผ่าน gc_maxlifetime และฝั่งไคลเอนต์ผ่าน cookie_lifetime ส่วน timeout คือช่วงเวลา 30 นาทีของการไม่เคลื่อนไหว หากไม่มีการส่งคำขอใดๆ เซสชันจะถูกทำลายในครั้งถัดไปที่พยายามเข้าถึงเพื่อป้องกันกรณีที่ผู้ใช้ลืมปิดเบราว์เซอร์บนคอมพิวเตอร์สาธารณะ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
อีกหนึ่งกลไกที่มีประโยชน์คือระบบแฟลชเซสชัน (flash session) ซึ่งมีความสำคัญยิ่งสำหรับเว็บแอปพลิเคชันที่มีการเปลี่ยนเส้นทางหรือ redirect หลังจากผู้ใช้ส่งข้อมูลฟอร์มและตัวควบคุมประมวลผลเสร็จสิ้น ระบบจะทำตามรูปแบบ PRG (Post-Redirect-Get) เพื่อแสดงข้อความสำเร็จหรือข้อผิดพลาดในหน้าถัดไป แต่เนื่องจากการรีไดเรกต์ถือเป็นคำขอใหม่ ข้อมูลจากคำขอก่อนหน้าจึงหายไป แฟลชเซสชันจึงเข้ามาแก้ปัญหานี้ด้วยการบันทึกข้อมูลไว้ภายใต้คีย์ _flash และใช้เมธอด getFlash() อ่านพร้อมกับลบข้อมูลทิ้งทันทีในคำขอเดียว ทำให้ข้อมูลไม่สะสมค้างบนเซิร์ฟเวอร์ โดยคลาสนี้มีเมธอดเฉพาะทางสำหรับเคสการใช้งานที่พบบ่อยดังนี้:
flashErrors($errors)สำหรับบันทึกข้อผิดพลาดในการตรวจสอบข้อมูลflashOldInput($request->all())สำหรับเก็บค่าข้อมูลเดิมที่ผู้ใช้กรอกไว้ในฟอร์ม
การเข้าใจความแตกต่างระหว่าง lifetime และ timeout ถือเป็นพื้นฐานสำคัญในการออกแบบระบบความปลอดภัยของเว็บแอปพลิเคชัน การกำหนด lifetime สั้นเกินไปอาจสร้างความหงุดหงิดให้ผู้ใช้ที่กำลังทำงานชิ้นใหญ่ แต่หากยาวเกินไปก็เพิ่มความเสี่ยงหากอุปกรณ์ถูกขโมย ส่วน timeout ทำหน้าที่เสมือนยามเฝ้าระวังเมื่อผู้ใช้ละสายตาจากหน้าจอ การผสานทั้งสองกลไกนี้เข้ากับการป้องกัน session fixation ด้วยการหมุนเวียน session ID ใหม่หลังการยืนยันตัวตน จึงเป็นแนวทางปฏิบัติสากลที่ช่วยอุดช่องโหว่การโจมตีทางเว็บได้อย่างมีประสิทธิภาพสูงสุด
ในด้านความปลอดภัยจากการโจมตี เมธอด regenerateId() ทำหน้าที่เป็นตัวห่อหุ้มฟังก์ชัน session_regenerate_id() พร้อมการตรวจสอบความปลอดภัยว่าเซสชันนั้นยังทำงานอยู่จริงก่อนทำการสร้าง ID ใหม่ ซึ่งจะถูกเรียกใช้งานทันทีหลังจากการล็อกอินสำเร็จเพื่อทำลาย session ID เดิมทิ้ง ป้องกันการโจมตีแบบ session fixation ที่ผู้ไม่หวังดีอาจพยายามตั้งค่า ID ไว้ล่วงหน้าในเบราว์เซอร์ของเหยื่อ นอกจากนี้พารามิเตอร์ $deleteOldSession = true จะช่วยลบข้อมูลเซสชันเก่าบนเซิร์ฟเวอร์ทิ้งไปทันที เพื่อไม่ให้ไฟล์เก่าสะสมและป้องกันไม่ให้ผู้โจมตีนำ ID เก่ากลับมาอ่านข้อมูลได้อีก
เมื่อผู้ใช้งานผ่านการตรวจสอบสิทธิ์ ระบบจะบันทึกข้อมูลเพิ่มเติมลงในเซสชัน นอกเหนือจากไอดีผู้ใช้ทั่วไป ได้แก่ หมายเลข IP Address และข้อมูล fingerprinting ของอุปกรณ์ ซึ่งทำหน้าที่เป็นชั้นป้องกันเสริม หากระบบตรวจพบว่าเซสชันมาจากไอดีหรือเบราว์เซอร์ที่เปลี่ยนแปลงไป AuthService สามารถสั่งยกเลิกเซสชันล่วงหน้าได้ทันทีเพื่อยกระดับความปลอดภัย ยิ่งไปกว่านั้น เมื่อถึงคราวต้องทำลายเซสชันไม่ว่าจะมาจากการออกจากระบบหรือหมดเวลา เมธอด destroy() จะทำการล้างค่าตัวแปรใน $_SESSION ด้วยอาร์เรย์ว่าง ตามด้วยการเรียก session_unset() และ session_destroy() ตามลำดับ เพื่อให้มั่นใจว่าจะไม่มีคราบตกค้างหลงเหลืออยู่ในหน่วยความจำหรือสต็อกเซสชันอย่างเด็ดขาด
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น