携帯電話向けWebアプリケーションのセッション管理手法 - ockeghem's blog

高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどうなっているのかに、高木浩光氏が携帯電話向けWebアプリケーションの安全性についてコメントされておられる。 なぜ「URLにセッションIDが含まれる場合はセキュリティに注意する必要があり」なのかと言えば、Refererによってリンク先にセッションID入りのURLが流出し、流出先サイトの人にセッションハイジャックされてしまうからだ。 確かにそうなのだが、携帯電話向けWebアプリケーションでは、セッションIDをURLに埋め込むことが定石として用いられている。 その理由は、他に適当な方法がないからである。 携帯電話向けWebの代表例であるi-modeでは、Cookieをサポートしていない。そのため、セッションIDを埋められる場所というと、 URLに埋め込む Hiddenフィールドに埋め込んでPOSTで送出する くらいしか代替手段がな

[sociolego]

カオスな携帯電話キャリア別の対応方法

[kaito834]

携帯電話向けWebアプリケーションでのセッション管理について。「i-modeでは、Referrerが送出されないことになっているからだ。」「ReferrerによるセッションID漏洩対策にはリダイレクタを使用する」

[kamip]

セッション管理

[moronbee]

携帯サイトのセッション管理

[sland]

DocomoがCookie非対応であることを踏まえた、具体的なセッション管理手法。URLにセッションIDを埋め込むしかないが、au/SoftbankはReferrerを送信するため、その対策も併せて必要。

[lymr09]

いちおうブックマークしておくかんじ。

[unieye51]

ockeghemの日記 - 携帯電話向けWebアプリケーションのセッション管理手法

[p_chopin]

Referer送信しない/パラメータ渡しのDoCoMo、Referer送信する/Cookieのau、機種依存のSoftbank。各キャリアの仕様を確認しておこう。