ColdFusionでは、httpからhttpsに切り替えた後、セッショントークンを再確立する必要がありますか？

Question

ColdFusionセッションは、CFID、CFTOKEN、およびjsessionidの値の組み合わせでサポートされています。 cfmページが最初にヒットすると、これらの値が確立され、セッションが作成されます。

私の質問は、HTTPでSESSIONが作成され、HTTPSでログインページに到達するためにリンクがクリックされた場合、それらがSESSIONトークンの値がhttpの下で作成されたため要求の一部として）。

私は公然のルータを盗んでいる人が驚くようにそれらの値を取得し、その後セッションを偽装する可能性があると推測しています。確かにまれな出来事になるだろうが、それでもなお懸念がある。

Answer 1

はい、Cookieは、セキュリティで保護されていないチャンネルでCookieを渡すと、盗聴やセッションのハイジャックに脆弱になります。 Wikipedia has some good prevention mechanismsがSession Hijackingページに表示されます。恐らく、最も簡単な方法は、invertedSpearが言ったようにして、成功したログインの後にセッションを再生成し、一度ログインしてHTTPSにとどまることです。