Q

セッションデータキー、リレー状態などの機密情報をWSO2のクエリパラメータの一部として回避する方法

2017-10-10 8 views 0 likes

0

WSO2 IS 5.3.0バージョンを使用しています。ログインページを開くと、URLのクエリパラメータに詳細情報が表示されます。この情報がクエリパラメータによって送信されないようにする方法。セッションデータキー、リレー状態などの機密情報をWSO2のクエリパラメータの一部として回避する方法

例：上記のパラメータのhttps://sample.com/authenticationendpoint/login.do?RelayState=https://sample.com/callback?client_name=Saml2Client&commonAuthCallerPath=/samlsso&forceAuth=false&passiveAuth=false&tenantDomain=carbon.super&sessionDataKey=11122234-o4df-5f6c-333a-23jghruy54jf&relyingParty=temp&type=samlsso&sp=temp&isSaaSApp=true&authenticators=BasicAuthenticator:LOCAL

2017-10-10 Sathya

A

答えて

2

いずれも、機密情報ではないとブラウザのリダイレクトを横切って状態情報を伝達するために使用されます。

疑わしいかもしれない「sessionDataKey」は機密情報を持ちます。ただし、認証フローが成功または失敗で完了すると、その存続期間は終了します。

URLパラメータの機密情報は、仲介者のログから取得できるパラメータであり、新しい有効な要求を偽造するために使用できます。その目的のために使用できるパラメータはありません。

2017-10-10 17:32:37

+0

はい。「sessionDataKey」は、一時的な情報を渡すために内部的に使用される識別子です。 @Ruwanは、sessionDataKeyの有効期間は、認証フローが完了するまでのみ説明されています。 – farasath

関連する問題