CSRF対策のトークンをワンタイムにしたら意図に反して脆弱になった実装例
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2011年1月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 橋口誠さんから今話題の書籍パーフェクトPHP (PERFECT SERIES 3)を献本いただきました。ありがとうございます。このエントリでは同書のCSRF対策の問題点について報告したいと思います*1。 本書では、CSRFの対策について以下のように説明されています（同書P338）。 CSRFへの対応方法は、「ワンタイムトークンによるチェックを用いる」「投稿・編集・削除などの操作の際にはパスワード認証をさせる」などがあります。一番確実な方法は両者を併用することですが、ユーザ利便性などの理由から簡略化する場合で
ワンタイムトークンの生成とチェック
ということで、今回はPHPに送信されたデータの送信元の整合性をチェックする。 ワンタイムトークンの生成とチェック用の関数を作りました。 作ったやつをそのまま使うわけじゃないですが、一応作ったやつをあげときます。 CSRF対策としてフォームの整合性をチェックする時に使用しました。 半券の元データはセッションで管理しています。 token.php <? // ***************************************** // ワンタイムトークンの生成 // ***************************************** function create_token(){ $ipad = getenv('REMOTE_ADDR'); $time = time(); $rand = mt_rand(); // 値をハッシュ化 $ipad = hash( 's
Sublime Text2の作業効率を加速させるパッケージ11個
こんにちは。 湿度で髪が跳ねまくっています。れこです。 今日は、何を思ったのか、 Sublime Text2でインストール可能なパッケージを全部見てみよう と思ってa~zまで全部のパッケージを見てみました。 その中で、 パッケージ名から「おっ」と思ったライブラリをインストールして、 独断と偏見で使えると思ったパッケージだけご紹介致します。 あまりに有名なEmmetやPackage Controlなどは除外して、 マイナー路線を集めたつもりですが、 全然マイナーじゃなかったらすみません。 では行きます。 Japanize まずは、パッケージと言って良いのか謎ですが、 Sublime Textのメニューを日本語化するパッケージです。 Sublime Textの日本語化に必要なファイルが揃っています。 READMEから少し引用すると、 同梱されている_.jpファイルを、 _ C:Usersユーザ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
E1blue.net
