Cookie の性質を利用した攻撃と Same Site Cookie の効果 | blog.jxck.io
Intro Cookie はブラウザによって保存され、紐づいたドメインへのリクエストに自動で付与される。 この挙動によって Web におけるセッション管理が実現されている一方、これを悪用した攻撃方法として、 CSRF や Timing Attack などが数多く知られており、個別に対策がなされてきた。 現在、提案実装されている SameSite Cookie は、そもそもの Cookie の挙動を変更し、こうした問題を根本的に解決すると期待されている。 Cookie の挙動とそれを用いた攻撃、そして Same Site Cookie について解説する。 Cookie の挙動 Cookie は、 Set-Cookie によって提供したドメインと紐づけてブラウザに保存され、同じドメインへのリクエストに自動的に付与される。 最も使われる場面は、ユーザの識別子となるランダムな値を SessionI
セッション Cookie を管理する | Firebase Authentication
フィードバックを送信 セッション Cookie を管理する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 Firebase Auth は、セッション Cookie に依存する従来型のウェブサイト向けに、サーバー側でのセッション Cookie の管理機能を提供します。たとえば、クライアントサイドの短期の ID トークンでは、セッション Cookie を期限切れの時点で更新するリダイレクト メカニズムが毎回必要になる場合がありますが、それと比べると、このソリューションには以下のようないくつかの利点があります。 認可済みのサービス アカウントを使用する場合のみ生成可能な JWT ベースのセッション トークンによるセキュリティの強化。 認証に JWT を使用するさまざまな利点が得られるステートレス セッション Cookie。このセッション Cookie の要件は
Cookie Store API Explainer
Cookie Store API Explainer This proposal has the following main goals. Expose HTTP cookies to service workers. Offer an asynchronous alternative to document.cookie. While accomplishing the goals above, the proposal gained the following nice-to-have properties. Cookies expose the parsed components of the cookie-related HTTP headers. Script does not need to parse or serialize HTTP headers. The APIs
P3Pコンパクトポリシーをコピペするのが流行らないことを祈る | 水無月ばけらのえび日記
なにげにしらなかったんだけど、IEで別ドメインのiframeを読み込むと、そのiframe内のcookieが有効にならない。 そーゆーときは、HTTPのリクエスト時のヘッダーに下記のkey＆valueを出力しておけばOKらしい。 ("P3P", 'CP="CAO PSA OUR"') こーするだけで、あらふしぎ。IEがCookieを保存してくれるじゃん。 ……。 iframeで別ドメインのコンテンツを読み込むと、そのCookieはサードパーティーのCookieとなります。IEのデフォルトでは、ポリシーが定義されていないサードパーティーのCookieは受け入れないようになっていて、P3P (www.w3.org)でポリシーを宣言すれば受け入れられるようになります。 P3Pのポリシーを定義するには、がっつりとXMLを用意する方法もありますが、HTTP応答ヘッダの中に直接書くという方法もあり、コ
3分で分かるAngularJSセキュリティ - teppeis blog
先日のng-mtg#4 AngularJS 勉強会でLTしようと思ったけど申し込みが間に合わなかったのでブログに書きます。 先月リリースされたAngularJS 1.2はセキュリティがんばってる的なことを聞いたので、セキュリティ周りの仕組みを調べてみました。 お題は以下です。 CSRF JSON CSP (Content Security Policy) Escaping CSRF ユニークなトークンをHTTPリクエストに載せてサーバーでチェックする対応が世の中では主流（最近はカスタムヘッダのチェックによる対策も） AngularJSでは、XSRF-TOKEN Cookieにトークンが載っていると、$httpを使ったHTTPリクエストのヘッダに自動的にX-XSRF-TOKENヘッダーが付く。 XSRF-TOKEN CookieはもちろんNot HttpOnlyで。 Angular界ではCS
【開発者向け情報】はてなブックマークの「マイブックマーク全文検索API」の仕様を変更しました。Cookie認証の際はJSONPのcallbackパラメータが利用できなくなりました - はてなブックマーク開発ブログ
既報のとおり、はてなブックマークの「マイブックマーク全文検索API」に仕様と実装上の問題が発見されました。そこで、2013年12月3日 16:00 以降、本APIへのリクエストの際に「ユーザー認証にCookie認証を使用していて、かつJSONPのcallbackパラメータを指定している場合に限り、常に空の検索結果に相当するレスポンスが返る」という仕様に変更しました。また、同条件でのAPIのリクエストは2014年1月8日以降、HTTPエラー (403 Forbidden) が返るようになります。 本APIを該当する方法でご利用の開発者様は、大変お手数をおかけし申し訳ありませんが、OAuth認証またはWSSE認証を用いた実装に変更いただきますよう、よろしくお願いいたします。 「マイブックマーク全文検索API」は、ユーザー認証をおこなった上で、ユーザーのブックマークを外部のアプリケーションから全
Rails CSRF Protection + Angular.js: protect_from_forgery makes me to log out on POST
If the protect_from_forgery option is mentioned in application_controller, then I can log in and perform any GET requests, but on very first POST request Rails resets the session, which logs me out. I turned the protect_from_forgery option off temporarily, but would like to use it with Angular.js. Is there some way to do that?
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
3rd Party Cookieのカレンダー | Advent Calendar 2023 - Qiita
https://github.com/WICG/cookie-store/blob/gh-pages/explainer.md
CSRF対策用トークンの値にセッションIDそのものを使ってもいい時代なんて、そもそも無かった