[Web][セキュリティ] 認証の維持とセッション管理の違い (09:11) - tdiary.ishinao.net (2005-05-17)

_ 認証の維持とセッション管理の違い (09:11) 「認証の維持」といわゆる「セッション管理」とはちょっと違う。 一般的なユーザー認証では、サーバー側にIDとパスワード（のハッシュ）という情報を持ち、ユーザーがフォームから入力したIDとパスワードの組み合わせを、サーバーの持つ情報と照合することによって認証処理を行う。 ただし、毎回フォームでIDとパスワードを入力するのは面倒なんで、一度入力したIDとパスワードは、2回目以降いちいち入力せずに認証処理を行いたい。要するに一度入力されたIDとパスワードを覚えておいて使い回したい。 BASIC認証とかのブラウザが対応している認証方式の場合は、ブラウザの機能として覚えてくれる。そして、アクセスのたびにIDとパスワード（のBASE64エンコード）が送られ、毎回認証処理が行われる。ちなみにBASIC認証で送られるパスワードのBASE64エンコードは可

[tafada]

【せっかくセッションIDやランダムな認証キーを利用していても、その有効期間が必要以上に長い場合は、‥】

[tsupo]

本件が脆弱性であるかどうかの判断は、「ソフトウエア等脆弱性関連情報取扱基準」、「情報セキュリティ早期