はてなブックマーク - おさかなラボ / Blog Archive / 携帯電話からセッションIDの漏洩を防ぐ

おさかなラボ / Blog Archive / 携帯電話からセッションIDの漏洩を防ぐ

タグ : mobile security セキュリティ携帯ケータイモバイル web programming session 携帯サイト

コンピュータ・IT 58 users

携帯電話向けWeb アプリの脆弱性事情はどうなっているのか@高木浩光＠自宅の日記よりリンク先のWebサイトには、Refererと共に端末IDもリクエストヘッダとして送信されているわけで、セッションID入りURLと端末IDがセットで流出するのだから、当然、同じHTTP リクエストを送るだけの方法でなりすましアクセスされてしまう。 URIにセッションIDを含める方法では、悪意のあるサイトにリンクを張るだけでRefererヘッダからセッションIDが取り放題となる。また、悪意のあるサイトにアクセスしたユーザーは端... > このページを見る

最終更新時間: 2007年02月24日14時42分

▼ブログで紹介する

みんなのブックマーク人気（0）新着

kaito834 mobile
「責任が持てないサイトにリンクを張る場合、またはBlogのコメント欄のように外部からリンクを任意に張られるような場合は、セッションIDを含めない URLに一旦誘導し、そこから外部リンクに飛ばすようにする。」 2010/05/13
shike secury
この場合、以下の方法を取ることにより、RefererからのセッションIDの窃取、またそれによるセッションハイジャックを防ぐことができる。 1. テンプレートなどにおいて、責任が持てるサイト以外には直接リンクを張らな 2008/08/05
unieye51
おさかなラボ / Blog Archive / 携帯電話からセッションIDの漏洩を防ぐ 2008/08/05
p_chopin Mobile, Security, Develop
『セッションIDを含めない形で、内部ページに一旦遷移させる』『uriのホワイトリストを作る、uriに対応するワンタイムトークンを発行するなどの方策が別に必要となる』 2007/02/26
hiro_y mobile, security
携帯電話向けサイトで外部リンクを扱う際の注意、セッションIDの漏洩の防止。 2007/02/26
minus774 mobile, security, web
ime.nu方式＋αをしないといけないって事か 2007/02/25