PHP逆引き大全 516の極意

セキュアプログラミングの極意 - Tips459 安全なセッション管理を実装する

登録タグ
PHP
Icon comment count 0
Icon stock count 0

7-5安全なセッション管理Tips459 安全なセッション管理を実装する

Level2

Point外部へのリンク時の対策と、セッションID再生成による対策を理解する

ここまで、セッションハイジャックの攻撃手法をいくつか紹介してきました。

セッションIDが漏洩、または、セッションIDを強制(固定化)されることに対する対策として、以下があります。

セッションIDをURLに埋め込まない

リファラ情報よりセッションIDが漏洩することを防ぐために、session.use_trans_sidディレクティブをOffにし、クッキーを用いたセッション管理をします。

ただし、クッキーを用いても、セッション固定攻撃のリスクがまだ残っていることに注意してください。

また、比較的古い携帯端末では、クッキーに対応していない場合も多くあります。クッキー非対応端末を除外するのがセキュリティ上はベストですが、どうしても対応する場合がある場合、機種によりsession.use_trans_sidの値を切り替える方がわずかながら好ましいと言えます。

外部サイト遷移時にクッションページをはさむ

出典情報

Medium

PHP逆引き大全 516の極意

  • 著者: 大家 正登, 茂木 健一, 鮫島 康浩, 谷中 志織

コメント

    コメントはありません