Rails CVE-2015-7576 で見る タイミングアタック(Timing Attack)

Rails 4.2.5.1 がリリースされました いくつかのセキュリティフィックスのリリースです あまり重要ではないですが、 CVE-2015-7576 の対応について見てみます 対象のコミットはこちらです 問題となったコード http_basic_authenticate_with を使ったBasic認証の際にタイミングアタックの脆弱性がありました authenticate_or_request_with_http_basic(options[:realm] || "Application") do |name, password| name == options[:name] && password == options[:password] end http_basic_authenticate_with は以下のように Controllerに書くことで利用できます http_bas