T.Teradaの日記 - SessionSafe: Implementing XSS Immune Session Handling

SessionSafeは、ハンブルグ大学のMartin Johnsさんが書いたWeb APの方式案です。 もしWeb APにXSS脆弱性があって、これが攻撃されたとしても、 セッションIDが盗まれない 当該ページ以外の情報が窃取・改竄されない ことを目指しています。 面白いなーと思ったので、内容について少し書きます。 なお、元記事を高速斜め読みしたので、この日記の内容には間違いが含まれているかもしれません。興味のある方は原本を見てください。 セッションIDが盗まれない 以下の二つのドメインがあるとします。 www.example.com secure.example.com セッションIDのCookieは、secureサブドメインに発行します。 Webページを表示する際はwww.example.comのURLにアクセスします。そこで返すHTMLに色々と仕掛けを施します。 HTMLの仕掛け

[jjgg8823]

はっきりいって複雑すぎる。

[webmarksjp]

セキュリティ

[mainyaa]

もしWeb APにXSS脆弱性があって、これが攻撃されたとしても「セッションIDが盗まれない 、当該ページ以外の情報が窃取・改竄されない」ことを目指しています。

[gugugonta]

SessionSafe: Implementing XSS Immune Session Handling

[kazuhooku]

トラバした

[wacky]

もしXSS脆弱性があってもできるだけ被害を抑えるWebアプリケーション方式のアイデア。

[n-sega]

実装方法がむずかしい・・・。

[miya2000]

img.onloadかな？

[ma2]

XSS脆弱性があっても被害を最小限にするという方針の技術。

[foursue]

セッションID入りのクッキーをXSSとかから守るらしい

[kdaiba]

開発環境とデバッグツールが心配

[poolmmjp]

『もしWeb APにXSS脆弱性があって、これが攻撃されたとしても、1. セッションIDが盗まれない 2. 当該ページ以外の情報が窃取・改竄されない ことを目指しています。』とのこと。原文含めてあとでちゃんと読む。

[YasSo]

「Web APにXSS脆弱性があって、これが攻撃されたとしても、1. セッションIDが盗まれない 2. 当該ページ以外の情報が窃取・改竄されない ことを目指しています。」