會話標識符的長度應該不小于 128 比特，以防止暴力破解會話 (brute-force session guessing) 的攻擊。
WebLogic 部署標識符應該指定一個長度不小于 24 字節的會話標識符。較短的會話標識符會使應用程序暴露在暴力破解會話的攻擊之下。如果攻擊者可以猜測出某個授權用戶的會話標識符，他就能夠接收到該用戶的會話。接下來的內容將詳細說明使用 24 字節會話標識符的深層合理性。
會話標識符是一個從 62 個英文或數字中產生的偽隨機結果，這意味著，如果這個字符串的每一個字節都是真正隨機生成的，那么它就能產生一個最大 6 比特的熵。
猜測有效會話標識符所需的秒數由以下方程式給定：
(2^B+1) / (2*A*S)
其中：
－ B 是指會話標識符中熵的比特數。
－ A 表示一個攻擊者每秒可以嘗試猜測的次數。
－ S 是指在任意指定時間內可供猜測的有效會話標識符數。
會話標識符中熵的比特數總是比總比特數要少。例如，如果會話標識符按升序給出，那么不管標識符的長度如何，在會話標識符中都有接近 0 比特的熵。假設會話標識符都是通過一個正常的隨機數值源產生的，我們將能估算出會話標識符中熵的比特數是總比特數的一半。現實中這樣長度的標識符是有可能存在的，雖然這一看法不免可能有些樂觀。
如果攻擊者使用由成百上千臺計算機組成的僵尸網絡 (botnet)，那么我們完全有理由相信他們能夠完成每秒幾萬次的猜測。如果這個存在問題的網站規模大且受歡迎，大量的猜測行為可能在一段時間內被忽略。
可供猜測的有效會話標識符數的下限就是在任意指定時間內，站點上的活動客戶數量。但是，任何沒有注銷就丟棄會話的用戶行為都將增加這個數量。（這就是為什么要設置較短的非活動會話超時時間的原因之一。）
一個 64 比特的會話標識符假設有 32 比特的熵。對于一個大型網站，假設攻擊者每秒可以嘗試 1000 次猜測，并且在任意給定時間內有 10000 個有效的會話標識符。照這個假設，攻擊者成功破解出一個有效會話標識符的預期時間大約在 4 分鐘以內。
現假設有一個提供了 64 比特熵的 128 比特會話標識符。對于一個超大型網站，可供猜測的有效會話標識符有 100000 個，攻擊者可能嘗試進行每秒 10000 次的猜測。照這個假設，攻擊者成功破解出一個有效會話標識符的預期時間將大于 292 年。
將比特數換算成字節數，就會得出會話標識符為 128/6，即大約 21 字節。而且，實驗表明，會話標識符的前三個字節不會隨機產生，這就意味著，要實現所需的 64 比特熵，我們需要將 WebLogic 配置為使用一個長度為 24 字節的會話標識符。
[1] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A3 Broken Authentication and Session Management
[2] Standards Mapping - OWASP Top 10 2010 - (OWASP 2010) A3 Broken Authentication and Session Management
[3] Standards Mapping - OWASP Top 10 2007 - (OWASP 2007) A7 Broken Authentication and Session Management
[4] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP3405 CAT I
[5] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP3405 CAT I
[6] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 6
[7] Standards Mapping - FIPS200 - (FISMA) IA
[8] Standards Mapping - Web Application Security Consortium 24 + 2 - (WASC 24 + 2) Insufficient Authentication
[9] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.3
[10] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 - (PCI 1.2) Requirement 6.5.7
[11] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 - (PCI 2.0) Requirement 6.5.8