ログイン前セッションフィクセイション攻撃の脅威と対策

7. なぜSSLの場合だけ? • SSL使う場合だけ脆弱となるのは違和感があるが… • SSL使わない場合、通信路上に攻撃者がいると、 セッションフィクセイション脆弱性がなくても、 セッションIDを盗聴することで、なりすましは可能 • SSLを採用しないサイトは、通信路上の攻撃者はいないもの と見なしている（安全な回線で使ってね。ﾆｺｯ） • SSLを使用しているサイトは通信路から攻撃に対処しているこ とが想定される（お・も・て・な・し♡）ので、通信路からの攻撃で 盗聴・改ざん等ができてはいけない • そうでないと…当サイトはSSLを使用してお客様の通信を安 全に暗号化しています。ただし、通信路上に攻撃者がいる場 合には、その限りではありません …となってしまう Copyright © 2013 HASH Consulting Corp. 7 8. ログイン前セッションフィクセイションの対

[wordi]

ログイン前セッションフィクセイションについて。ログイン前にやむなくセッションIDを生成する場合は、ログイン後に割り当て直す

[m_shige1979]

セキュリティ

[tmatsuu]

hiddenパラメータでデータ引き回し続けるためアンカータグでjs呼び出してPOST繰り返すとかもうやりたくない。秘密情報をセットするたびにセッションID振り直し、承知しました。

[honeybe]

あとで。

[jqonsomeone]

セキュリティ

[ockeghem]

昨日のOWASP Nightのスライドを公開します #owaspjapan