「推測不可能性」だけで安心？セキュアなURL生成について考える - Flatt Security Blog

はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの山川です。 多くのWebサービスにおいて、ブログ記事やドキュメントの公開・下書き共有のためにURLを発行する機能が存在していると思います。このようなURLに関して、第三者に知られたくない場合「推測不可能なURL」を発行するといったセキュリティ観点は広く知られているかと思いますが、それ以外にはどのような観点が存在しているでしょうか。 本稿では、Webサービス上で発行されるURLに関して「どういったセキュリティの観点があるか」や「脆弱性・リスクに対する対策」についていくつかのパターンを前提に解説します。 はじめに 前提 機能一覧 セキュリティ観点 パターン1: URLが推測可能かつアクセス制御に不備がある場合 連番になっている 日付が入っている 単純な値を用いて変換されたハッシュ値 パターン2: URLが推測不可

[strawberryhunter]

漏洩して困るものをURLだけで共有するのは根本的に間違っている。CMSのプレビューだったらセッションに限定するか、しかるべきユーザー管理があるはず。したがってURLはどうでもいい話では？

[criticabug]

X-Robots-Tag: noindex も忘れずに。ちな、はてブの非公開ブックマークも普通にURL自体は公開されてて見れるからね。

[SWIMATH2]

これ難しいよなあ

[kako-jun]

"推測不可能なケースでも意図せず未公開URLが暴露する可能性" ← 口頭で伝えられないから貼るしかないし、読めないからバラしてもいいって誤解するのは自然だわ。ハッシュの先頭に、バラすなって言葉を入れればいい