phpsession ID（隠蔽）

セッションIDをスニッフィングしないようにする方法はありますか？phpsession ID（隠蔽）

出典

2009-06-25 Anonymous

これは悪い質問ではありませんが、それをさらに良くして少し飾りたいと思うかもしれません。 – VolkerK

SID to the URLを追加しないでください。
httpsを使用してください。
（セッションクッキーのためhttponly flagを設定してください。）

出典

2009-06-25 07:41:39 VolkerK

httonly = httponly cookieだけど、誰もがそれを理解してくれたと思う。 – Alfred

+1、私はhttponlyフラグを認識していなかった –

私はあなたが "スニッフィング"を定義する方法によると思うが、ジェフはしばらく前にhttponlyフラグについてブログを書いた。http://www.codinghorror.com/blog/archives /001167.html。クライアント側のスクリプトがセッションクッキーにアクセスする理由がないので、php.iniのsession.cookie_httponlyをOnに設定してください。 – VolkerK

をした場合、 "サーバとクライアントの間のすべてのネットワークトラフィック上でのリスニングのman-in-the-middle攻撃者によって盗聴"、あなたは意味 "嗅い" により、確かにhttpsを使用するだけです。

URLにSIDを追加するかどうかは違いがありません.SIDはまだCookieとして送信され、HTTPS上にない場合、そのCookieは暗号化されずに送信されます。

HttpOnlyのフラグは、XSS攻撃に対して非常にうまく保護 - ブログ記事にリンクされているVolkerK見る - ではなくスニッファ

に対しての（...それは動詞の場合）あなたは、おそらく明確に定義する必要が

は、あなたがより多くの答えを得るために守ろうとしている攻撃者の一種。

出典

2009-06-25 10:57:16 James

「URLにSIDを追加しても違いはありません」 - はい、私は非常に緩やかに「スニッフィング」し、IMまたはXSS攻撃にURLをコピー＆ペーストするようなことを考えました。 – VolkerK

ええ、そういうわけで、私は、技術的な文脈で最初に "嗅ぐ"ことが何を意味するのかを慎重に定義し、緩い定義を指摘しています。 URLにSIDを付加しないと、他のユーザーのログの参照元フィールドにSIDの問題が現れ、また最近ではSEOの目的でSIDの問題が一般的なセキュリティに役立ちます。 – James

答えて

関連する問題