間違いだらけのHTTPセッション管理とその対策

(Last Updated On: 2018年10月12日)HTTPセッション管理はWebセキュリティの中核と言える機能です。Webセキュリティの中核であるHTTPセッション管理に設計上のバグがある事は少なくありません。今回のエントリはPHP Webアプリ開発者ではなく、主にWebフレームワーク側の開発者、つまりPHP本体の方に間違いがあるという話しです。Webアプリ開発者の回避策も紹介します。 まずセキュリティの基本として「入力のバリデーションを行い、正当な入力のみを受け入れる」があります。しかし、PHPに限らず多くのセッション管理機構は当たり前の「入力のバリデーションを行い、正当な入力のみを受け入れる」を行っていません。セッションIDの再生成（リセット）も不完全な物が多いと思います。 参考： 知らないと勘違いする「合成の誤謬」の罠 開発者は必修、SANS TOP 25の怪物的なセキュリ

[pmint]

間違いだらけなのは筆者。考えすぎて馬鹿になるパターン。"直ぐに削除してしまう仕様の場合"は初回ログインでも言えるでしょ。再生成と初回生成を分けて考えてる時点で馬鹿になっている。

[atoka-tech]

“use_strict_session”

[trashtoy]

ああ、この人ね。知らない人はコチラを参照のこと http://togetter.com/t/%E5%A4%A7%E5%9E%A3%E9%9D%96%E7%94%B7 「間違いだらけ」なのは果たしてどっちなんだろうね

[k-holy]

セッションID変更時に古いデータを即削除してはいけないケースは見落としてた。非同期での認証時には気をつけないと…

[localdisk]

長いのであとで

[ghostbass]

みんなASP.NETにしようぜ！

[poppun1940]

HTTPセッション管理はWebセキュリティの中核と言える機能です。Webセキュリティの中核であるHTTPセッション管理に設計上のバグがある事は少なくありません。今回のエントリはPHP Webアプリ開発者ではなく、主にWebフレーム

[margaman]

あとでよむ

[norisu0313]

間違いだらけのHTTPセッション管理とその対策