Sessioni Primarie vs Secondarie in Sicurezza Rete: Chiarire la Terminologia
Comprendere i Tipi di Sessione in Contesti Autenticazione
In autenticazione e gestione sessione, la terminologia può variare. Ecco una chiara ripartizione di sessioni primarie e a cosa "sessione secondaria" potrebbe riferirsi in pratica.
Sessione Primaria
La sessione autenticata iniziale stabilita tra client (utente/dispositivo) e server/servizio dopo verifica credenziali riuscita (username/password, certificato, MFA). Caratteristiche chiave:
- Evento autenticazione completo (validazione fattori)
- Genera token/ID sessione primario
- Stabilisce contesto sicurezza (privilegi, attributi)
- Tipicamente longer-lived (ore a giorni)
- Base per fiducia in interazioni successive
Sessione Secondaria: Non un Termine Standard
"Sessione secondaria" non è uno standard industriale universale. Può riferirsi a diversi concetti a seconda del contesto:
- Sessione Delegata/Impersonificazione: Servizio agisce per conto utente (delegazione OAuth/OIDC, delega vincolata Kerberos).
- Sessione Re-autenticazione / Step-up: Assicurazione elevata per azioni sensibili (nuova sfida MFA).
- Sessione Federata/SSO: Sessione presso Identity Provider (IdP) vs Service Provider (SP).
- Sotto-sessione Applicazione: Per-tab o per-modulo sessione within contesto autenticato più ampio.
Concetti Correlati
- Session Fixation / Hijacking: Attacchi targeting identificatori sessione.
- Token Refresh: Rinnovo access token via refresh token (credenziale secondaria).
- Limiti Sessioni Concorrenti: Policy restrittiva sessioni primarie simultanee.
Per terminologia precisa, consulta tuo framework specifico (OAuth 2.0, OIDC, SAML, Kerberos, proprietario). "Sessione primaria/secondaria" non è uno standard universale.