安全なセッション管理を実現するために ― ＠IT

HTTPを使用したWebアプリケーションにおいて、安全なセッション管理を行うことは難しい問題である。タブブラウザによる画面の複数起動や、Webブラウザの戻るボタン／更新ボタンの押下といった、予期しない画面遷移に起因するバグの発生に頭を悩ませることは多いだろう。 大きな問題が発生しないならば、画面遷移の仕様上の制限をクライアントに許容してもらう選択肢もあるだろうが、不正な画面遷移を利用したセキュリティホールが存在するならば、放置しておいてよい問題ではなくなる。今回はセッション管理を安全に行うための基本的な注意点について解説していこう。 セッション固定攻撃とは何か セッション固定攻撃（Session Fixation）という脆弱性を耳にしたことはあるだろうか。脆弱性そのものの詳しい解説は本稿の趣旨ではないため割愛するが、簡潔に説明すると、以下のような手順を踏むことによりセッション情報がハイジャ

[zorio]

セッション固定攻撃の解説

[SavingThrow]

Strutsでは構造上、Session Fixation攻撃しやすい。詳細と対応方法。

[yujiorama]

セッションIDの生成と管理について

[alchemy-note]

セッション固定攻撃

[suVene]

session fixation

[todogzm]

セッション固定攻撃対策

[tgk]

セッション固定攻撃の解説。ログインしたらsessionIdを新しくしないとダメ

[hiro_y]

Struts、セッション固定攻撃を防止。