Web StorageやindexedDBを扱う上でのセキュリティ上の注意点 - 葉っぱ日記

localStorageやsessionStorage、あるいはindexedDBのようなブラウザ上でのデータの保存が可能になったことで、これらを取り扱ううえでもセキュリティ上の注意点が必要である。 これらのストレージは、localStorageやindexedDBは永続的に、sessionStorageはブラウザやタブを閉じるまでの間データが保持され続けるので、例えばWebアプリケーションがログイン機構を持っている場合にログイン中にこれらのストレージに書き込まれたデータは、ログアウト後も当然参照および書き換えが可能である。Webアプリケーション上のアカウントに紐づいたデータをこれらのストレージに書き込んでいる場合、ログアウト後もアクセス可能なことが問題を引き起こす可能性がある。 例えばTwitterのようなサービスがあったとして、(navigator.onLineプロパティなどを利用して

[teppeis]

他人で書き込むのを防止するだけならこの実装で良いけど、機密情報はログインしなくてもlocalStorage見れるわけで暗号化しないとダメな気がします。本質的にはブラウザにユーザー管理機能が欲しいですね。

[ninjinkun]

自分はネイティブアプリだとログアウト時に削除する実装にしてるので、localStorageも同じ感じになりそう

[ghostbass]

cookieも使用者は認識しないのでそういうリスクはあるよね。

[tyage]

ログイン/ログアウト時にlocalStorage削除するのが自然（？）な感じもした

[tarchan]

同じアカウントを複数のユーザーが共有してる時点で機密情報を守るとか無理ゲーじゃないの

[monjudoh]

cookieでの認証情報管理とstorage類の不一致について

[oppara]

Web StorageやindexedDBを扱う上でのセキュリティ上の注意点 - 葉っぱ日記

[typista]

ぽけったー Web StorageやindexedDBを扱う上でのセキュリティ上の注意点 : 葉っぱ日記

[AmaiSaeta]

(privacyなのかsecurityなのか微妙な案件) | 1つ目のコードのような実装であれば、ログアウト時にクリアするだけで良いと思う。勿論、2つ目の例のように永続化し、且つ暗号化するのが一番理想だろうけど。

[ockeghem]

ここで議論している前提条件では、秘密情報をlocalStrageに保存してはいけない、というのが正解ではないかな?

[elio01986]

Web StorageやindexedDBを扱う上でのセキュリティ上の注意点 - 葉っぱ日記

[kijtra]

フォーム入力内容の一時保存くらいならCookieでやってるとこもあるね。localStrageでは、利便性を上げる(表示要素のキャッシュとか)以外に今のところ思いつかない。

[m-kawato]

ブラウザ側ではユーザを意識してくれない

[knjname]

読まれてまずい情報は基本的にUAに保存なんて考えるべきじゃない