PHPで安全なセッション管理を実現する方法に対する高木さんのコメントへのフォロー - いしなお! (2006-11-20)

_ PHPで安全なセッション管理を実現する方法に対する高木さんのコメントへのフォロー 高木さんのはてなブックマークコメントに、 [セキュリティ][乱数][暗号][PHP][moderate] PHPはセッションID生成にsecureな擬似乱数生成系を使用していないようだ。さすがPHPらしい駄目っぷり。 とあって、そこから人がたくさん来ているらしいんで、ちょっとだけフォロー。PHPのセッションID生成は、 sprintf(buf, "%.15s%ld%ld%0.8f", remote_addr ? remote_addr : "", tv.tv_sec, (long int)tv.tv_usec, php_combined_lcg(TSRMLS_C) * 10); なんて感じで、マイクロ秒単位の現在時刻＋ユーザーのリモートアドレス＋combined-LCG（線形合同法による乱数2つを組み合

[webmarksjp]

*security

[nettabo]

PHPのセッション生成アルゴリズム。

[d4-1977]

セッションの話

[rsky]

session.entropy_file = /dev/urandom; session.entropy_length = 16

[yuki_2021]

PHPのセッション管理の内部構造。勉強になる。

[NOV1975]

まあ、デフォルトで使えるものができるだけいいものであることは言語の選定理由としては大事かも知れん。ただ、費用対効果と言うか、その程度でもいいじゃんというシチュエーションはあると思う。

[sunaoka]

session.entropy_file = /dev/urandom

[hiro_y]

PHPのセッションID生成方法に関して。