徳丸さんのブログに対するコメント

(Last Updated On: 2018年8月4日)最初、書いた時はユーザーが一人だけと頭にあったので思いっきり誤解していました。確かに複数ユーザーの場合は真正性に問題があります。修正版の差分をアーカイブを更新しておきました。 本題のブログはこちらです。 書籍『Webアプリケーションセキュリティ対策入門』のCSRF脆弱性 トークンの有効範囲は? トークンがDBに保存される場合、トークンの有効範囲が気になるところです。大垣本および第二版のソースを見ると、トークンを保存するテーブルの定義は以下の通りです。 CREATE TABLE form_id (sha1 TEXT PRIMARY KEY, created TEXT NOT NULL) sha1がトークン、createdが生成日時を保持します。 シンプルな構造ですが、これだとトークンは、ユーザーやセッションを超えて、アプリケーション全体

[sho]

自ら掘った墓穴に差し出された救いの手をはねのけてさらに深く掘っていくスタイル

[t-tanaka]

http://blog.ohgaki.net/criticism-for-my-sample-program 間違えた時にちゃんと「ごめんなさい」できる人は偉い。

[Sampo]

だからkenokabeよりyohgakiだってカリスマっつったら。

[watermaze]

ぶっちゃけ暗号化やセキュリティにかかわる機構を自前で実装するということ自体もはや不適切だと思う。広く検証済みのものを使うということにしないとまさにこういうことが起こる。

[Silica]

それぞれに対して発行されるのがランダムなのは分かってるのよ．自分に対して発行されたキーを使って他人に投稿させられる、っていう指摘のはずなんだが．

[jaguarsan]

トークンがユーザー(セッション)と紐付いてないから本人証明にならないって指摘なのにランダムだからおkって この人マジでCSRFの仕組み理解してないんじゃ…

[szks]

少しでも自分の社会的評価を気にしてるなら、もう十分手遅れだけど今からでもきちんと謝罪とお礼を述べた方がいいですよ、ときっと伝わらないアドバイスを残しておく。

[coppieee]

“徳丸さんとは論理的に議論をする余地がない”　吹いたｗ

[manaten]

すげー複雑な鍵穴用意しても、全員に貸し出してる鍵がマスターキーだから意味ないって指摘なのに。。。

[tondol]

徳丸氏「あるCSRFトークンを別のセッションに使い回せる脆弱性がある」大垣氏「ランダムだからCSRFトークンは推測不可能」／何の反論にもなっていないでしょコレ→訂正記事がアップされた様子

[rryu]

ユーザーは一人だけだと想定していたというのはウェブアプリのセキュリティ対策としては致命的なミスなような……

[kimurahayao]

世界の違う方なので大垣氏がどんな存在か知らぬが、最初の指摘者に対して個人攻撃をした以上、それに関する謝罪はきちんとあっても良いのではないか。

[ockeghem]

コメント・対応有難うございました

[koyhoge]

修正の経緯はこんなところで。 https://www.facebook.com/yohgaki/posts/10153432127624452

[tanakh]

(´･_･`)

[tohokuaiki]

これは良いツンデレ。いや、よくない。

[kits]

記事が消えていた。 http://blog.ohgaki.net/web-app-security-appendix-updated にはリンクが残っている。/ http://blog.ohgaki.net/criticism-for-my-sample-program に修正の記事。

[stealthinu]

出遅れた… https://twitter.com/okdt/status/615730485138862088 のtweetがすばらしいな。

[moritata]

見ようと思ったら消えてた・・・どーすんだろ・・・

[longroof]

修正版来たかな(´・ω・｀)…

[quabbin]

「これで危険ならセッションIDも使い物にならない」って、セッション・フィクセーションを理解してない感じかしら

[mumincacao]

別の人が有効なとーくん埋め込んだりくえすとを準備できちゃう時点で『CSRF 対策には使えない』って指摘通りに見えるなぁ・・・ っていうかばりでーしょん以外でも仲良しさんですの？（・ｘ【みかん

[hilde]

1度あけたら壊れる鍵を用意したけど部屋の区別をしていないから、攻撃者が作った鍵を被害者に渡せば使えてしまう

[itochan]

別の部屋用に生成された鍵を、被害者の部屋にも使える　という意味だと思うのだけれど、あってるかな？　＞ホテルの全ての部屋で共通で使える鍵です

[yetanother]

セッション毎にテーブル作ればいいんじゃね？

[mapk0y]

?