【PHP】セッションについて語ろう！【PHP】
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
03/09/24 19:31ID:SnRvXmpIブラウザを閉じることでクッキーを消しているからなのですね。。
知らなかったよーーーーうわーーーん
0498nobodyさん
2006/07/28(金) 16:48:36ID:???それ、セッションじゃなくて、クッキーにユーザー名とか保存してるだけじゃ無いの？
セッション何日も維持するなんて、セキュリティ上あり得んよ。
クッキーに何を保存してるか、見てみれば？
0499nobodyさん
2006/07/28(金) 18:55:06ID:???ちなみにクッキーは3個。すべてセッションオンリーはNO、有効期限は5年。
クッキーにユーザー名とか保存はしてない。直接の値が書き込まれているのは表示設定のみ。
ていうかそっちの方がセキュリティ上問題あるだろう
0500nobodyさん
2006/07/28(金) 20:37:40ID:???mixiのクッキーにはユーザー名（メアド）は書いてないよ。
>>499
＞セッションオンリーはNO
↑これどういう意味？？
＞mixiはブラウザ閉じても次アクセスすればログイン状態では？
「次回から自動ログインする」にチェックを入れてログインしたなら、ね。
0501nobodyさん
2006/07/28(金) 21:47:39ID:???＞セッションオンリー
ブラウザを終了したらクッキーを破棄するかどうか（これがオンだと有効期限は設定されない）
「次回から自動ログインする」にチェックしたらセッションオンリー=オフで有効期限5年のクッキー
チェックしなかったらセッションオンリー=オンのクッキー
という使い分けみたいですね。
0502nobodyさん
2006/07/28(金) 22:13:32ID:???あれっ、mixiのクッキー内にそんなデータあった？？
俺見てみたけど、見当たらないぞ・・・
っていうか「BF_STAMP」って何を指してるんだろう？ BFが何の略なのかも気になる。
0503nobodyさん
2006/07/28(金) 23:41:45ID:???言いたいことは分からないでもないが
セッションオンリー
って言葉はどうなの？
>>502
独自のセッションを実装してるみたいだね
ワンタイムパスワードみたいなのを3つくらい返してる
mixiって同じIDで別の端末からも利用できるの？
できるんならサーバ側の情報管理はたいへんそうだな
0504nobodyさん
2006/07/29(土) 02:55:05ID:???たしかにワンタイムパスワードみたいなのがあるね。
でも何回かログインとログアウトを繰り返してみたところ、
そのワンタイムパスワードみたいなのは変化しなかった。
ってことは「ワンタイム」じゃない！？
0505nobodyさん
2006/07/29(土) 09:11:18ID:???ってことはmd5とかで変換しただけのものを
クッキーに保存して毎回アクセスするたびに認証してるだけだね
セッションじゃないじゃん
一番確実な方法だと思うが
セキュリティ的にはhttpsでもないしだめだと思う
0506nobodyさん
2006/07/29(土) 11:57:07ID:???BF_SESSION
が 999_jidjaijdiojaidjhifjaj1399
みたいになってて先頭の数字が会員IDで後ろは
会員に対するランダムな文字列
（ってことで会員IDもかかれてるよ）
BF_STAMP
がパスワードになにかしたもの。
（パスワードを変更すると変化する）
BF_LOCAL_SESSION
が一時的なセッション管理用っぽい。
認証はCOOKIE（BF_SESSIONとSTAMP）で管理して
一時的なセッション情報（すぐに消えてもいいもの）を
BF_LOCAL_SESSIONのほうでやってると思われ。
ちなみに BF_ がなんの略かは分からない。
0507nobodyさん
2006/07/29(土) 12:17:15ID:???以前フロントエンドのソースコード流出で話題になってた。
0508nobodyさん
2006/07/29(土) 13:13:55ID:???0509nobodyさん
2006/07/29(土) 13:30:05ID:???0510nobodyさん
2006/07/29(土) 13:37:05ID:???0511nobodyさん
2006/07/29(土) 15:33:58ID:???mixiはDBもロードバランスしてたりするから、
セッション管理とかもやたら複雑なんだろうなぁ。。。
もっと小規模のSNSだったなら、そこまで複雑なCOOKIEにならないで済むのかな？
たとえばOpenPNEとか。使ったことないけど。
0512nobodyさん
2006/07/29(土) 22:34:06ID:???> >>506が神に一歩近づきました。
> mixiはDBもロードバランスしてたりするから、
> セッション管理とかもやたら複雑なんだろうなぁ。。。
レイヤ7スイッチなら関係なし
0513nobodyさん
2006/07/29(土) 23:50:54ID:???なんかmixiは色々と入れてるんだね。しかも会員情報と関係する物を。
0515513
2006/07/30(日) 00:19:58ID:???いや、別に変わった事言ったわけではないっす。セキュリティを確保する為の問題はそこからだよね。。
0516nobodyさん
2006/07/30(日) 10:32:58ID:???0517nobodyさん
2006/07/30(日) 12:19:56ID:???man in the middleを考えるならSecure発行も必須だな。
0518nobodyさん
2006/07/30(日) 14:03:10ID:???> ログイン時にランダムなハッシュをクッキーとして渡して、鯖側でユーザと結びつけて管理。
sessionと何が違うんだ？
0519nobodyさん
2006/07/30(日) 14:28:40ID:???ブラウザをIEの同義語で使うのと同レベル
0521nobodyさん
2006/07/30(日) 17:04:19ID:???って事が言いたいのでは？違うか？？
0522nobodyさん
2006/07/31(月) 03:14:10ID:???PHPのセッション関数によって発行されたセッションIDをクッキーに渡すんじゃダメなの？
>>518も書いてるが、セッションIDとは別にわざわざハッシュ値を用意する意味がよく分からない。
0523nobodyさん
2006/07/31(月) 04:58:39ID:???そうなると確かにsessionは使えないな。常にSSL使える環境なら標準のでいいんじゃね？
0524nobodyさん
2006/07/31(月) 15:31:17ID:???＞自前でセッションハイジャック対策やってるんだが、
＞そうなると確かにsessionは使えない
どうして？？
0525523
2006/07/31(月) 23:55:35ID:???これをsessionでやろうとすると結果的にハッシュが二重に保存される上に処理にロスが出る。
0527nobodyさん
2006/08/01(火) 04:31:43ID:???0528nobodyさん
2006/08/01(火) 05:39:58ID:???0529nobodyさん
2006/08/01(火) 07:18:30ID:???それを実装したいなら、セッション変数にホストとUA入れればいいじゃん。
ただし、既出のように、それだけではセッションハイジャックを完全には防げないし、
ホスト(IPアドレス)がHTTP接続ごとに変わる環境のやつが利用できなくなる罠。
0530525
2006/08/01(火) 08:56:31ID:???ごめん。書き忘れてたんだけど、
複数のアクセスポイントからアクセスする人もいるから、
一つのユーザに複数のセッションを割り当てて管理してます。
その過程でIDと複数のセッションを関連づけてるんだけど、
sessionだとIDからセッションの逆引きが出来ないので。。
ちなみに、ホストが変わるのは適度にマッチングして対応しています。
ところでNonSSLでセッションハイジャックを完全に防ぐ方法ってあるかな？
無理だよね。。まぁ、SSL使えって話しなんだろうけど。
0532525
2006/08/01(火) 09:18:07ID:???そういや、ny系のウィルスでCookieやらをzipにして流すのがありましたね。
0534525
2006/08/01(火) 10:58:20ID:???不安になって確認しちまったじゃんか。ぐぐればざくざく出てきますぜ。
0535nobodyさん
2006/08/01(火) 11:28:28ID:???0536nobodyさん
2006/08/01(火) 11:40:56ID:???0538nobodyさん
2006/08/01(火) 17:01:25ID:???0539nobodyさん
2006/08/02(水) 03:45:11ID:???実用的には無理があるよな。
mixiみたいに、認証時以外はHTTPにするしかないだろ。
負荷やレスポンスなどを考えると。
0540nobodyさん
2006/08/02(水) 04:30:58ID:???重要な情報をやりとりするとき以外はhttpでいいんじゃね。
YahooもBiddersも楽天だってAmazonだってそうしてるし。
鯖側よりクライアントに負荷の比重を置くセキュアプロトコルが欲しいところだな。
0541nobodyさん
2006/08/02(水) 10:40:13ID:???負荷を考えるのであれば全てをhttpsでやろうとするのはナンセンスだよな。
1日10アクセスぐらいのサイトなら好きにすりゃいいけど(w
0542nobodyさん
2006/08/02(水) 10:59:10ID:???すべてをhttpsでやってるとこなんてあるの？
0543nobodyさん
2006/08/02(水) 14:11:39ID:???0544nobodyさん
2006/08/03(木) 03:05:25ID:???実際にSSLを使わずに重要情報をスニファされた事件って、実例あるの？
そんなもん、いまだに聞いたことないんだが。
0545nobodyさん
2006/08/03(木) 05:30:21ID:???0546nobodyさん
2006/08/03(木) 09:38:22ID:???実際には存在しない「架空の泥棒」を生み出して大騒ぎし、
人々の恐怖心を煽って大儲けしているヤツらがいることに少しは気付こう。
だからキミらはいつまで経っても搾取され続けるんだよ。バカだから。
そんなキミらは映画『ボウリング・フォー・コロンバイン』でも見ると良い。
0547nobodyさん
2006/08/03(木) 10:26:30ID:???素人の趣味でやるなら好きにすりゃいい。
0548nobodyさん
2006/08/03(木) 10:39:54ID:???論点のすり替え乙。
意識だのプロだの関係ない。
ただ単に想像の産物で騒いでるお前みたいなバカのことを笑ってるだけだよ。
0549nobodyさん
2006/08/03(木) 10:52:07ID:???本当レベル低いよな。
0550nobodyさん
2006/08/03(木) 18:52:15ID:???0551nobodyさん
2006/08/03(木) 21:29:13ID:???0553nobodyさん
2006/08/04(金) 02:33:39ID:???SSLを使用しないせいでパケットスニファされた事件なんて記憶にないな。
誰か実例知ってる？
0554nobodyさん
2006/08/04(金) 02:42:38ID:???SSLの使い方
http://pc8.2ch.net/test/read.cgi/php/1016169881/
0555nobodyさん
2006/08/04(金) 03:24:34ID:???ユーザの事考えなくても良い素人ならね。
0556nobodyさん
2006/08/04(金) 09:33:12ID:???何回もクドクドとウゼェなぁ。「素人、素人」って、お前は何様なんだボケ。
つーか歯車リーマンが何を偉そうに語ってんだバカが。
悔しかったら早くスニファが原因での情報漏洩事件を挙げてみろカス。
0557nobodyさん
2006/08/04(金) 09:45:01ID:???それ以外だと無理だとおもわれ。ルータでARPがクッションされるから。
0558nobodyさん
2006/08/04(金) 13:38:11ID:???獲得できるユーザが少なくなったり評判が悪くなるって言ってるんだよ。白書読め。
キミはユーザにそう説明してれば良いんじゃない？
0559nobodyさん
2006/08/04(金) 18:57:12ID:???言い訳は要らないから、早く実例出せよ。
SQLインジェクションやXSSでの被害実例は豊富にある。
だからその対策を講じるのは合理的な理由がある。
しかしSSLを使用しなかったことによるスニファでの被害実例は、少なくとも俺は知らない。
まさかお前、実際にはありもしない不安を煽って、客から高い金取ってるんじゃないだろうな？
そういうのを詐欺とかボッタクリと呼ぶんだぜ。
0560nobodyさん
2006/08/04(金) 19:02:25ID:???勝手にベリサインにでも電凸でもしてSSLサイトでも作ってろ
いつまでスレ違いネタ続ける気だ死ね
0561nobodyさん
2006/08/04(金) 19:04:12ID:???SSLサイト→SSL叩きサイト
掲示板のルールすら守れないやつが正義漢振るな
ゴミが
0562nobodyさん
2006/08/04(金) 19:42:52ID:???まさかここまで言っても分からない馬鹿だとは思わなかった。
被害がある被害がないは関係ないんだよ。ユーザがそれを気にしているかどうか。SSLを使用しているかどうかをチェックするユーザがいる事実、これだけが大事。
XSS、インジェクション、それらの対策がなされているかチェックしてからサイトを使うユーザが何処にいる？
それに対しSSLのチェックは簡単で、大きくメディアにも取り上げられている。また、上にも挙げたとおりいくつかの白書に載っている統計にもユーザがそれらを判断基準にしているとの統計が出ている。
お前みたいなユーザ数を気にする必要のない素人には関係ないがな。ユーザ数獲得を目的とする"プロ"の"SSL使用"の何処が非合理なんだか。
セキュリティよりもお前は自分の馬鹿さ加減を気にした方が良いな。
0563nobodyさん
2006/08/04(金) 19:59:46ID:???空気読まない質問に答えてやってもいい相手は小さい子供だけだ
0564nobodyさん
2006/08/04(金) 20:56:55ID:???いつまでやってんだか。。。
0565nobodyさん
2006/08/04(金) 23:02:49ID:???何処かで見たような気がするんだけど思い出せん
0567nobodyさん
2006/08/05(土) 03:45:03ID:???いやぁ、スゴい論点ずらしの逃げだね。見事な負け犬っぷりだｗｗｗ
お前みたいな馬鹿システム屋がいるせいで、ますますド素人の客やユーザーたちは
「SSLさえあれば安全！」みたいな間違った認識を増大させ、
もっと重要かつ事件が頻発している穴をふさぐための費用を出そうとしない。
それからユーザ数獲得云々とか、お前の論理なんてどうでもいいわけ。そんなの誰も聞いてないだろ。
そうじゃなくて「SSLが無い場合の危険度＝過去に起きた被害実例」を挙げてみろよ、って言ってんの。
もしユーザからそれを質問されたらどう答えんの？ あ？
お前の論理でいくと、「ユーザ数獲得を目的とするプロ」なら、上記の質問には答えて然るべきだよなぁｗｗｗ
0568nobodyさん
2006/08/05(土) 04:17:59ID:???在日の君にはまず日本語を覚えて貰わないと話しにならないなぁ。
しかも、>>555に最初にレスしてきたのは君でしょ。それがルートレスになってるんだからそのレスに基づいて話すのは当たり前。論点をずらさないで欲しいね。
まぁ、君の質問にも答えてあげると、情報の盗聴というごくごく受動的な行為は被害を受けたと認識する事は出来ないってこと。
被害実例？気づいてないんだから少ないのは当たり前。普段と何ら変わりないのにどうやって気づく？個人情報漏洩した企業の"情報の悪用は確認できない。"という言い訳と同じ。
その前に君はなぜベリサインなどの企業が成り立っているか考えるべき。受動的攻撃の検知に疎いのは良いとして、こちらは世間一般で分かる常識だ。
"間違った認識をする奴がいるから"ベリサインは成り立つ。そんなはずがないだろう。もう少し謙虚に生きた方が多くのことを学べるよ。
0569nobodyさん
2006/08/05(土) 05:07:23ID:???ま、クレジットカード番号送るのに、SSLも使ってないサイトを使いますか？って事だ。
で、素人は好きにやっとけって事でＦＡで終了。他所いってやってくれ。
0570nobodyさん
2006/08/05(土) 05:29:11ID:???お金を投入して、それに見合う効果があるのかどうかという話。
観測できない被害は、あったとしても気づいていなければ、会計的に被害額を算出不能なので被害に遭ってないのとのと同じ。
また、その観測できない被害を被るのは、多くの場合サイトの運営側でなく利用者の側なので被害を受けるとみなさないとする向きもあるかと思う。
そういう考え方は賛同はできないけれど、「あり」な考えかたの一つだと思う。
利用者から安全でないと思われ、最初から利用を控えられるということによる損失。
情報流出の被害が発覚した場合の信用失墜による損失。
こういったものを軽く見積りすぎているように思います。
もちろん、被害が発覚して問題になったときの対応にかかるコストも含めて、事後対応のほうがコストが安いと思うならそれもありです。通常はかなり高くつくようですけど。
0571nobodyさん
2006/08/05(土) 05:40:23ID:???ボッタクリと思うのなら使わなければ良い話。
価値観の押し付けウザ。長文ウザ。
で、素人は好きにやっとけって事でＦＡで終了。
頼むから他所いってやってくれ。
0572nobodyさん
2006/08/05(土) 10:11:11ID:???0573nobodyさん
2006/08/05(土) 10:21:38ID:???0574nobodyさん
2006/08/05(土) 10:57:40ID:???お前が一番ウザいということに早く気付けよチンカスくん。
>>568で自ら長文書いてるし。お前ウザいんだよ。５回くらい氏ねやボッタクリ屋。
0575nobodyさん
2006/08/05(土) 10:58:39ID:???早く「SSL不使用によるクレジットカード番号流出」の実例を挙げろ。
言い訳や、捨てゼリフによる逃げはもう飽きたからいいよ。
0576nobodyさん
2006/08/05(土) 13:13:10ID:???ん？長文書いてる奴は俺じゃないぞ？？
SSL不使用によるクレジットカード番号流出？そんなのｼﾗﾈｰﾖｗ
ま、クレジットカード番号送るのに、SSLも使ってないサイトを使いますか？って事だ。
価値観の押し付けウザ。長文ウザ。
で、素人は好きにやっとけって事でＦＡで終了。他所いってやってくれ。
0577nobodyさん
2006/08/05(土) 13:15:13ID:???↑で金を取る方がボッタクリだと思った。
あと>>575の人コテハンにしてくれ。ｱﾎﾞﾝしとくから。
0578nobodyさん
2006/08/05(土) 17:48:27ID:???＞会員専用以外のとこですべてをhttpsでやってるとこなんてあるの？
あった
http://portal.askul.co.jp/
0580nobodyさん
2006/08/06(日) 20:38:27ID:???だから逃げるなって、チンカス。
「クレジットカード番号送るのに、SSLも使ってないサイトを使いますか」って、
お前の主張なんか誰も聞いてないんだよ。早くSSLを使わなければ問題が起きるという実例を示せ。
「価値観の押し付けウザ」 ← これをそっくり熨斗でもつけてチンカスに返却しましょう。
0581nobodyさん
2006/08/06(日) 21:10:38ID:???自分でやれ
0582nobodyさん
2006/08/07(月) 06:22:05ID:???SSLあり/なしの両方で運用できるように書いときゃいいだけなのに。
0583nobodyさん
2006/08/07(月) 09:25:34ID:???論点のズレた認識乙。
＞SSLあり/なしの両方で運用できるように
実際の運用に当たってはそんなの当たり前だろボケカス。
そもそも、話の流れはそういうことを言ってるんじゃないだろうが。
SSL無しの場合の被害実例を早く挙げてみろって言ってんだよ。
いつまで逃げてんだチンカス。
0584nobodyさん
2006/08/07(月) 09:36:34ID:???0585nobodyさん
2006/08/07(月) 09:47:08ID:???お前の主張なんか誰も聞いてないんだよ。
早く「クレジットカード番号送るのに、SSLも使ってないサイトを使いますか」に回答しろ。
0586nobodyさん
2006/08/07(月) 09:48:54ID:???結局GETが何かすら分かってなかったというオチで逃げ去った馬鹿。
放置推奨。
0587nobodyさん
2006/08/07(月) 09:55:59ID:???0588nobodyさん
2006/08/07(月) 10:00:44ID:???結局こいつは何がいいたいの？ｗ
誰か説明して
0589nobodyさん
2006/08/07(月) 17:37:02ID:???0591nobodyさん
2006/08/08(火) 10:14:27ID:???悔し紛れのｼﾞｻｸｼﾞｴﾝ乙。
でもお前ｼﾞｴﾝし杉だから、ほどほどにな。
で、早くその逃げの人生を止めろよ。
答えに窮する事実を突きつけられたからって、発狂しちゃいかんよキミｗｗｗ
0592nobodyさん
2006/08/08(火) 12:37:31ID:???移動しろ話はそれからだ
セキュリティ初心者質問スレッドpart73
http://pc8.2ch.net/test/read.cgi/sec/1154835858/
0593nobodyさん
2006/08/10(木) 08:32:10ID:???その後彼は一生逃げ続けるヘタレな人生を送るのであった。
めでたしめでたし。
0594nobodyさん
2006/08/10(木) 12:30:02ID:???0595nobodyさん
2006/08/10(木) 18:09:09ID:???死ねばいいのに
0596nobodyさん
2006/09/30(土) 23:07:37ID:ev1i2goA結構探したけどみつかんないです。。。
■ このスレッドは過去ログ倉庫に格納されています