よく、PHPでのセッションハイジャック対策として、認証後に「session_regenerate_id(true)」を行ったり、認証確認時にユーザ環境に依存する情報で簡易的なチェックを行う等の対策をよく拝見します。
そもそも認証済みセッションのセッションIDが盗聴された場合、「session_regenerate_id(true)」では、旧IDに紐付いた情報は破棄されることと、新しいセッションIDが発行される点はわかりますが、結局、そのタイミングが悪意をもったユーザの操作時点で再生成されない保証はできないような気がします。
その為その被害を軽減しそもそも発生確率を低減する対策として、ユーザ環境に依存する情報で定期的（操作毎？）にセッションIDの保有者と認証時点のユーザの同一性を確認しているという理解です。
そういった意味で、完全に防衛する仕組みは実現できないため、基本的には性悪説に則って考えて情報更新時には基本的にログイン状態を維持できる仕組みでも更新前や重要情報の表示前には再度パスワードによる認証を行うものだと認識しています。
いろいろなブログを拝見して考えていくと、結局自身が高じている悪意のあるユーザへの対策が完全では内容に思え、ちょっと悩んでおります。
※ 有料アンケート・ポイント付き質問機能は2023年2月28日に終了しました。
ログインして回答する
みんなの回答
jyack
この質問へのコメント
質問の情報
- 登録日時
- 2008-09-26 10:37:00
- 終了日時
- 2008-10-03 10:40:02
- 回答条件
- 1人5回まで
この質問のカテゴリ
この質問に含まれるキーワード
人気の質問
-
小池百合子氏 落選運動を郷原弁護士が始めた様です。 https://www.youtube.com/watch?v=J7wU8_3ZBho ➡ク…
匿名質問者
3
1
1
-
写真を加工するアプリで加工した写真にそのアプリのロゴが入っていて気づかずTシャツなどにして売ると商品…
decunli11
-
今、ネットの友達とアニメを作っています。 その際に登場するキャラクターに音声を入れたいのですが、さす…匿名質問者11
-
幻想交響曲のライブ録音は拍手があったほうがいいですかなかった方が良いですか …
山田生活
-
交響曲のライブ録音ではあ？ てゆうくらいの雑音が収録されているcd教えて下さい…山田生活1
例えばPOSTで情報を引き継いでいくって言うのはどうなんでしょうか？
いちいち書くのは面倒だけど、input名さえばれなければ硬いと思うんですが…同じですかね？
おなかいっぱいです。
PHP自身に深刻なセキュリティホールがあったり
サーバのモジュールなどがアップデートされてなく
そこでクラックされたら、いくらWEBアプ側でセキュリティ対策しても意味なくなる。
携帯みたいにね固定識別番号あると楽なんだがそれも端末設定でOFFされてると
取れないし。面倒だね。
あとで客に大騒ぎされないようにあらゆる脆弱性対策を組み込んで免責事項。
きっと完全に防ぐ方法あるんだぜ。そのサイトは最強に使いにくくなるけど。
かといって手をぬくと客に大騒ぎされるし…
言われるままアプリで完璧近い対策しても、レンタルサーバな時点で…ねえ？