クッキーのSecure属性不備 - ぷ～ろぐ

概要 クッキーにはSecureという属性があり、これを指定したクッキーはHTTPSの場合のみブラウザからサーバに送信される。アプリケーションがHTTPS通信を利用していても、Secure属性のついていないクッキーは平文で送信される場合があり盗聴される可能性がある。 HTTPとHTTPSの混在するサイトでは、セッションIDに対してクッキーのSecure属性を設定するとアプリケーションが動かなくなる場合がある。その場合、セッションIDとは別にトークンをSecure属性付きクッキーとして発行して、ページ毎に確認する方法がある。 攻撃手法 次の手順で平文のクッキーがネットワーク上に流れる。 まず、HTTPSでかつSecure属性のつかないクッキーを発行するページを閲覧し、ブラウザーにクッキーをセットする。例としてURLは https://www.example.jp/set_non_secure_