CookieStoreとセキュリティ(2), CookieStoreの有効期限, Ruby on Rails の注文の多い料理店に入ってしまった話 - Journal InTime(2008-01-14)

_ CookieStoreとセキュリティ(2) ちょっと気になるのが、サーバが一度発行したクッキーは、HMACで使用する鍵を変えたりしない限り、ずっと有効だということだ。悪意のある第三者がクッキーを盗聴してリプレイを試みる、というケースについては、盗聴できたという時点で他のセッションストアの場合もセッションハイジャックが可能になるので、CookieStoreがとりわけ危険だというわけではない。気になるのは、ユーザがセッションの状態を任意の時点に戻すことができる点だ。アプリケーションの作りによっては悪さができそうな気もするのだけれど、実際のところどうなのだろう。 [Cookieとセキュリティより引用] と書いたけど、問題になりそうな具体例を思い付いた。 RailsによるアジャイルWebアプリケーション開発 のサンプルのショッピングカートアプリケーションでは、カートの格納先にセッションを使用し

[tkawa]

『CookieStoreがとりわけ危険だというわけではない』『ユーザIDに対応するユーザ情報(管理権限があるか、いつまで有効か、など)は「状態が変わりうる」のでCookieStoreに格納してはいけない』わかりやすい

[udzura]

なんかこんな記事を見かけた。今見返そう

[tohtas]

rails セキュリティ　cookiestore

[s5ot]

rails セキュリティ　cookiestore

[ogijun]

前田さん数学科だったのか!