第4回 サーバー側で管理する「セッション変数」に要注意 | 日経 xTECH（クロステック）
最近になってセッション変数を使用したアプリケーションを見かけるケースが増えてきている。セッション変数とは，セッションIDとひも付けてサーバー側に格納する変数のことである。開発環境により実装の仕方は様々だが，ログイン成功時に保存される認証情報もセッション変数の一つである。 セッション変数をサーバーに格納すると，アプリケーションはセッションが有効な間，変数の値を再利用できる。これにより，例えばクライアントから送信された大量の入力項目をサーバー上で保持しながら複数の画面を遷移するようなアプリケーションを比較的容易に，かつ低コストで実装できるようになる。 筆者がアプリケーションの開発現場にいたころは，サーバー・リソースを圧迫するという理由から使用を控えていることが多かったが，マシン・スペックの向上や，アプリケーションに要求される機能の複雑さの向上といった背景により事情が変わってきているようだ。 実
第3回 犯罪者に代わって操作させられる「セッション・フィクセーション」
今回はセッションに関連する代表的なぜい弱性の一つである「セッション・フィクセーション」について解説しよう。 セッション・フィクセーションとは，セッションIDを詐取するのではなく，攻撃者が知っているセッションIDをユーザーに使わせて，後からユーザーになりすます攻撃のことである（図1）。クッキーとして有効なセッションIDを攻撃者によりセットされ，そのセッションIDがユーザー情報とひも付けられてしまう。 図1の例では，http://example9.co.jp上の攻撃者が，ユーザーのブラウザに任意のクッキーをセットしている。このセッションIDは，攻撃者があらかじめターゲット・サイトにアクセスし，取得したものである。問題は，攻撃者がこのクッキーを，ユーザーのブラウザにセットできてしまうことだ。この攻撃が成立する大きな要因はクッキーがセットされるメカニズムにある。このメカニズムはCookieMons
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セッション・フィクセーションとは | 情報セキュリティ用語解説 | 情報セキュリティブログ | 日立システムアンドサービス
とくまるひろしのSession Fixation攻撃入門 - ockeghem's blog
