PHPのセッションIDは暗号論的に弱い乱数生成器を使っており、セッションハイジャックの危険性がある : DSAS開発者の部屋
下記の文章は、PHPのセッションIDに対する攻撃についてFull Disclosure MLに2010年に投稿された文章を和訳したものです。訳者の意見としては、攻撃の成立条件は極めて厳しく、そこまで深刻度は高くないと考えています。 とはいえ、疑似乱数列への攻撃がどのように行われるのか、その可能性を示す文章は比較的珍しいもののように思います。暗号論的に安全な疑似乱数とは何か、なぜ必要なのかといった内容を間接的に教えてくれる面白い文章だと感じましたので、今回翻訳してみました。 （以下、原文の和訳です） 原文：http://seclists.org/fulldisclosure/2010/Mar/519 Advisory (c) 2010 Andreas Bogk <andreas () andreas org> Product:PHP Version:5.3.2 以降 脆弱性の種類:暗号論的な
HTTP::Session2 has been released. - blog.64p.org
English document is available on metacpan! Following document is written for non-english speakers. HTTP::Session2 を作成した。主に Amon2 で使用することを想定しているが、広く一般につかえるものと思う。 特徴 必要なときに必要なだけ Set-Cookie ヘッダを発行する 必要なときだけストレージにアクセスする クライアントサイドストレージとサーバーサイドストレージの両方をサポート XSRF トークンの管理をセッションライブラリ側に内蔵 AngularJS フレンドリー 上記が、重要なことである。 弊社のようなハイトラフィックなサービスを運営している場合には、できるだけリソースをケチりたいので、そういう思想なものが必要となった。通常の用途では Plack::Session
セッションアダプションがなくてもセッションフィクセイション攻撃は可能
大垣（@yohgaki）さんと、セッションアダプション脆弱性が「重大な脅威」か否かで論争を続けています。 大垣さん:第25回 PHPのアキレス腱 ── セッション管理徳丸:PHPのSession Adoptionは重大な脅威ではない大垣さん:PHPのセッションアダプション脆弱性は修正して当然の脆弱性議論がかみ合わないので、twitterで「ブログ読みました。サンプルも動かしました。問題は分かるのですが、セッションアダプションがないPHPだと、何が改善されるのかが分かりません。教えて下さい」とツイートしたところ、大垣さんがブログで返信下さいました。 大垣さん: セッションアダプション脆弱性がないセッション管理が必要な理由これを読んでかみ合わない理由が分かりました。大垣さん、ありがとうございます。以下大垣さんのブログの末尾を引用します。 脱線しましたが、何が改善されるのか？結論は ログイン時に
CGI::Session.pmでセッション管理
はじめに perlでCGI::Session.pmを使ってセッション管理を行う．idの生成・抹消をはじめ，セッション管理に必要な様々な機能を提供してくれ，非常に便利である． CGI::Session.pmは必要なデータをサーバに置く．すなわち，セッションidを生成した後，サーバ内にidに対応するファイル（DBを指定することも可能）を生成する．セッションで必要なデータはサーバのファイルに保管し，プログラム間を行き来するのはセッションidのみである． CGI.pmも一緒に使うと利便性はさらに高くなる． 動作環境 動作環境は以下の通りである．Windows XP上でWindows版のApache，cygwin版のperlが動いている． Windows XP Professional Apache 2.0.48（Windows版） cygwin 1.5.7-1 perl 5.8.0 インストール
Perlで、セッション管理をする(CGI::Session,CGI::Cookie,MySQL使用) - undiscoの日記
Perlで、パスワードをハッシュ化してユーザー情報を管理する - undiscoの日記の続きです。 セッション管理というか、セッションIDを吐いてCookieに記録するだけです。 ユーザーIDとパスワードの認証後に実行します。 CGI::SessionとCGI::Cookieを使用し、セッションIDはMySQLへ保存します。 今回は、http://www.yamareco.com/ippiki/detail.php?mid=25&mver=0とTutorial - CGI::Sessionのさらに広範囲に渡って記述されたマニュアル - perldoc.jpを参考にしました。 ユーザー名とパスワードを入力するsignin.html、ユーザー認証処理と、セッションIDを吐いてCookieに記録するsignin.plと、ページ遷移してセッションIDをCookieから読み取り表示するsession
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
