セッションアダプションに対する私の見解

先にエントリ「セッションアダプションがなくてもセッションフィクセイション攻撃は可能」に対して、大垣(@yohgaki)さんから、「セッションフィクセイションはアダプション脆弱性修正で防御可能」というブログエントリで反論をいただきました。 大垣さんのエントリは長いのですが、反論のポイントは、以下の2点だと思いました。 徳丸のPoC（概念実証コード）では、セッションDBが分かれていないが、現実のレンタルサーバー等はセッションDBが分かれているので、攻撃はできないセッションには有効期間があり、セッションアダプションがない場合は、有効期間の過ぎたセッションIDが送信されても、セッションIDは再生成される。だから攻撃はできない以下、上記に反論します。 セッションDBは元々関係ないセッションフィクセイション攻撃において、セッションを扱うのは、攻撃対象のサーバーだけです。大垣さんは、セッションフィクセイ

[anrkny]

feed_fav "セッションアダプションに対する私の見解"

[burnworks]

『2つの観点から、セッションアダプションを解消してもセッションフィクセイション脆弱性の解決にはならないことを説明』

[NOV1975]

やっておいた方がベターがこれだけやっときゃ大丈夫に化けるとなんか代替医療みたいだな