Blogロードバイク通勤のRubyプログラマで伊豆ダイバー。BitArtsトップ会社について製品/サービス著書/関連書籍お問い合わせ2006-03-03セッションハイジャックに強いセッションID今、某ECサイトのセキュリティ診断の仕事をしています。多くのサイトで言えることだけど、シビアなデータを扱っていると、何らかの脆弱性を悪用されて「なりすまし」が行われるた場合に、ちょっとイヤなことになるよね。「なりすまし」の手口のひとつが「セッションハイジャック」。これは追跡識別キーであるセッションIDが何らかの原因で第三者に盗まれ、勝手に使われることによってその利用者になりすまされるというもの。セッションIDが盗まれる原因はいくつかあるけど、クロスサイトスクリプティング脆弱性だったり、ブラウザの欠陥を悪用したりする手口がある。いずれにしても「絶対に」漏洩しないように対策するということはかなり難しい。よって、ある程度はセッションID漏洩の可能性を前提に考えておく必要があると思う。ようするにセッションIDが盗まれた場合でも、第三者が勝手に使えなければいいわけだ。REMOTE_ADDRのハッシュ値とかをセッションIDに埋め込むとかどうですかね?そのアクセス元からしか使えないセッションID。同じ構内のNAT環境だと使えちゃうけど、一定以上の効果はありそうだけど。12:00セッションハイジャックに強いセッションID関連記事2013-12-27Railsスタイルガイド(適当日本語訳)更新しましたbbatsov/rails-style-guideが非常に参考になりそうなドキュメン...2006-03-31CSRF対策でセッションIDを使うのは危険らしいCSRF対策でワンタイムトークンの代わりにセッションIDを使う方...メディアサイト構築CMS「Clipkit」は累計およそ600のWebサイトで採用。月間1,000万PVを超える人気サイトも複数あります。ラグル株式会社は、このプロダクトを一緒に育ててくれるエンジニア(Rubyプログラマ/フロントエンドエンジニア/SRE)を募集しています。当社は総合PR会社の株式会社ベクトル(東証1部:6058)のグループ会社です。はてなブログProロードバイク通勤のRubyプログラマで、伊豆ダイバー。Founderビットアーツは1998年よりWebアプリケーションを専門としてシステム開発サービスを提供しています。OEM向け製品開発にも取り組んでいます。現在はラグル株式会社を立ち上げて、Webメディアサイト構築CMS「Clipkit」を作っています。さいたまクリテリウム2019-10-10「ザ社内報」のつり革広告が登場しました!もっと見る月別アーカイブはてなブログをはじめよう!miyamaeさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。