HTTPセッション
出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2020/08/10 16:30 UTC 版)
「セッションハイジャック」の記事における「HTTPセッション」の解説
HTTPはもともとブラウザの要求に対してWebページを返すような一往復の通信が想定されており、HTTPそれ自身はセッション管理の仕組みを備えていないため、Webアプリケーションの側でセッション管理の仕組みを用意し、ブラウザ側にセッションIDを持たせる必要がある。しかしこのセッション管理の仕組みが不適切であると、セッションをハイジャックされてしまう危険がある。 Webアプリケーションに対するセッションハイジャックは以下の三種類に分類できる：セッションIDの推測、セッションIDの盗み出し、セッションID固定化攻撃。第一の方法であるセッションIDの推測は、セッションIDを推測しやすい方法で割り振っている場合に可能な攻撃で、例えばセッションIDを連番、時刻、ユーザID、メールアドレスといったものにしていると、攻撃者にセッションIDを推測される危険がある。 第二の方法であるセッションIDの盗難は、Webアプリケーションの脆弱性（例えばクロスサイトスクリプティング、HTTPヘッダ・インジェクション、ミドルウェアの脆弱性）がある場合に可能な攻撃で、これらの脆弱性を利用してブラウザに保管されたセッションIDを盗む。またセッションIDをURLに埋め込んでいるケースではリファラを悪用した以下のような盗難方法が知られている：例えばSNSのユーザのセッションをハイジャックする場合、攻撃者は標的となるユーザに自身のサイトへのリンクをSNS経由で伝える。ユーザがSNS上のリンクをクリックして攻撃者のサイトにアクセスすると、攻撃者のサイトにはユーザが直前にいたサイト（すなわちSNS）のURLがリファラとして伝わるので、SNSのサイトでセッションIDをURLに埋め込んでいる場合には、攻撃者にセッションIDが知られてしまう。
※この「HTTPセッション」の解説は、「セッションハイジャック」の解説の一部です。
「HTTPセッション」を含む「セッションハイジャック」の記事については、「セッションハイジャック」の概要を参照ください。
- HTTPセッションのページへのリンク
