高木浩光＠自宅の日記 - ログイン前Session Fixationをどうするか

■ ログイン前Session Fixationをどうするか 21日の日記「Session Fixation脆弱性の責任主体はWebアプリかWebブラウザか」で、ブラウザベンダはCookie Monster問題をどうするのだろうかということについて書いたが、Firefox 2.0 について調べてみたところ、解決していなかった。また、IE 7 も解決していない。 そのような状況では、セッション追跡がcookieだけによって行われている場合であっても、Session Fixation攻撃に対して配慮せざるを得ない。 これまで、Session Fixation対策といえば、ログイン後の状態をセッションハイジャックされることの防止のみが語られることが多かったが、ログイン前についてはどうだろうか。 たとえば、ログイン前から使えるショッピングカートに対してSession Fixation攻撃が行われると

[cooldaemon]

Session Fixation

[pale-ale]

[

[tgk]

★

[terazzo]

カートに商品を入れている段階ではセッションを作らずhiddenなINPUT要素でデータを引き継ぎ、ログイン成功時に初めてセッションを発行するのが良いと思う。メモリリソースを非会員のために割くのは嫌という動機もある。