ログアウト機能の目的と実現方法

このエントリでは、Webアプリケーションにおけるログアウト機能に関連して、その目的と実現方法について説明します。 議論の前提 このエントリでは、認証方式として、いわゆるフォーム認証を前提としています。フォーム認証は俗な言い方かもしれませんが、HTMLフォームでIDとパスワードの入力フォームを作成し、その入力値をアプリケーション側で検証する認証方式のことです。IDとパスワードの入力は最初の1回ですませたいため、通常はCookieを用いて認証状態を保持します。ログアウト機能とは、保持された認証状態を破棄して、認証していない状態に戻すことです。 Cookieを用いた認証状態保持 前述のように、認証状態の保持にはCookieを用いることが一般的ですが、Cookieに auth=1 とか、userid=tokumaru などのように、ログイン状態を「そのまま」Cookieに保持すると脆弱性になります

[k-holy]

Webアプリケーションでの「ログアウト」機能はむしろ業務要件になることが多いです、経験上。そこをしっかり区別して実装する必要がありますね

[kei2100]

"セッションIDには、認証状態を破棄するという意味においては、ブラウザ側に残っていても不具合はありません。これが、「ログアウト時にセッションIDのCookieを破棄する必要はない」という根拠になります"

[secseek]

目からウロコでした。言われてみれば、確かにどうしても必要な機能ではありませんね

[hiroomi]

”本当にログアウト機能が必要なのかを検討します。”

[mokuoz]

ログアウト

[atsushifx]

[Login/Logout][Security Design]

[tan70]

知らなかった

[invent]

ログアウト機能の目的と実現方法 | 徳丸浩の日記

[amino_acid9]

「ログアウト機能は本質的に何かを解決する機能ではありません。何か悪いことが起こった際に、被害を軽減するもの」

[masaru_b_cl]

「ログアウトがそもそも必要か？」のところから考えたことはなかったので、目から鱗。

[itochan]

関係ないけどoauthで外部サービスを利用しようとすると、ログアウト（自分からの情報を相手サービスに保管を許可したまま利用の一時休止…な感じ？）ってできないかも。

[rryu]

ログアウトがないと困るのはトラッキングされる期間を減らしたい時と、複数アカウントを切り替えて使わなければならない時とかかなあ。

[AmaiSaeta]

セッションクッキーの削除は「たまたま」同じ値になる可能性を除外する為じゃないかしらん。乱数なら(極稀に)偶然同じ値になる可能性在るよね? PHPのセッション周りの実装知らんので、対策してあるのかも知れんが。

[sawarabi0130]

楽天はログアウトのリンクの前に「本人でない場合は」と付けるのをやめてほしい。

[lanius]

「ログアウト機能は本質的に何かを解決する機能ではない」。

[JHashimoto]

HTTP認証とフォーム認証の違い。ログアウト機能の考察。

[deep_one]

Cookieを消したい理由としては、fixationの可能性を考える。まぁどうせべつに対策が必要になるけど。／あと、ユーザーのためのゴミ掃除（笑）／私は要らない変数を手動でunsetしたくなったりする性格。

[letsspeak]

徳丸浩の日記: ログアウト機能の目的と実現方法

[kijtra]

複数アカウントとかきっちり終了したい(なにか残したくない)人はログアウト必要だね。どうでもいいけど$_SESSION['userid']=false;よりunset($_SESSION['userid']);にしてる。

[oppara]

ログアウト機能の目的と実現方法 | 徳丸浩の日記

[an-ironic-man]

「セッションIDのクッキーは削除する必要はない。セッションが破棄された状態では、セッションIDは単なる乱数であり攻撃の余地はないから」。「別の理由があれば削除してもよい」。

[pmint]

ブログのネタにはいいが、問題解決にはごちゃごちゃしすぎな説明。利用者視点ではその名の通りトラッキングをやめたり、アカウント切替のためのほうが多いだろう。共有端末で私有アカウントを使うこと自体おかしい事

[blueboy]

ここまで独りよがりな勘違いの解説をするのにも呆れたが、はてなーが指摘しないことにも呆れた。これ読め。→　http://oshiete.goo.ne.jp/qa/7462533.html?order=asc&isShow=open

[aretokore]

>> ログアウト機能の目的と実現方法 | 徳丸浩の日記

[maraigue]

"ログアウト機能は本質的に何かを解決する機能ではありません。何か悪いことが起こった際に、被害を軽減するものでしかありません"

[harumomo2006]

クッキーが大量に残っていると色々と邪魔ではある

[miki3k]

たいした手間でもないから、付けるだけ付けといて欲しい。

[torazuka]

ログアウト機能はリスクの軽減に役立つだけか。なるほど。

[raimon49]

セッションIDのクッキー ≒ ホテルのカードキーという比喩。

[kazuhooku]

ockeghem++ 「私は、セキュリティコンサルタントとしては珍しく(?)、余計なこと（保険的対策としても効果の薄いもの）をするのは嫌い」