パーフェクトPHPのサンプルコードに脆弱性がありました - gusagiの日記徳丸浩さんのブログで脆弱性のご指摘を頂いていることに遅まきながら気付きました。 徳丸さん、ありがとうございます。 詳細は徳丸さんのブログをご覧頂いた方が良いかと思いますが、指摘頂いた脆弱性は大きく、 (1) 「種」となる$seedとマイクロ秒のみでトークンを生成しているため、マイクロ秒をずらしつつ辞書攻撃を行うことで$seedの推測が可能である (2) そもそも、$seedについての言及がないためコピペされる可能性がある (3) 今回の場合、時刻を元にワンタイムトークンを生成しているため、トークン生成日時を攻撃者が制御しやすくなり、辞書攻撃を容易にしている の3つとなります。 (2)については、徳丸さんがブログ内で あるいは、$seedの値が'secret'となっているわけだから、明記はされていないが暗黙の了解として$seedは本番環境では変更して使うのだという意図かもしれません。 と書か
