中山貴禎のレビュー一覧
-
-
-
Posted by ブクログ
なかなか一度では覚えきれないが、勉強にはなった。
たとえば「セッションIDが取得される」、「セッションIDが攻撃者によって固定化される」などの攻撃には、以下のような対策が考えられます。
①セッションIDをクッキーのみで扱うように設定する。
②重要な処理を行う前にユーザーに再度パスワードを入力させる。
③ログイン時に乱数文字列をトークンとして発行してクッキー（Webブラウザ）とセッションファイル（Webサーバー）の双方に保存しておき、認証確認する際にそれらトークンの値が同一かどうか比較する。
④ログイン時の認証が成功した段階で古いセッション情報を破棄してセッションIDを再発行する。
知 -
Posted by ブクログ
なかなか一度では覚えきれないが、勉強にはなった。
たとえば「セッションIDが取得される」、「セッションIDが攻撃者によって固定化される」などの攻撃には、以下のような対策が考えられます。
?セッションIDをクッキーのみで扱うように設定する。
?重要な処理を行う前にユーザーに再度パスワードを入力させる。
?ログイン時に乱数文字列をトークンとして発行してクッキー（Webブラウザ）とセッションファイル（Webサーバー）の双方に保存しておき、認証確認する際にそれらトークンの値が同一かどうか比較する。
?ログイン時の認証が成功した段階で古いセッション情報を破棄してセッションIDを再発行する。
知