Q&A
誤解がありましたが
仕組み的なところを固めている段階ですので生では比較しないつもりです。
自作しない方が良い理由があるのでしたら、そちらの回答をお願いします。
会員サイトで一般ユーザーがアクセスできるすべてのページで自動ログインを実装しようと思っているのですが、自動ログインはしたことがなくて処理を洗い出してみたのですが、セキュリティー的な観点でだめなところやこうした方がいいなどありましたら教えていただけるとありがたいです。
※クッキーの有効期限やセキュアなどはシステム側で指定します。(fuelphpです)
クッキーがない場合 ログイン画面へ遷移させる ログインする ログインに使用したアドレスとパスワードがDBに存在するか確認する 存在する場合 ログインに使用したアドレスとパスワードを組み合わせてハッシュ化する そのハッシュ値をクッキーに保存する セッションを張って、トップページへ 存在しない場合 ログイン画面へ戻りそんな会員いねえよという クッキーがある場合 クッキーに保存されているハッシュ値と、DBに保管されているアドレスとパスワードを組み合わせたハッシュ値が存在するか確認する。 一致する場合 ハッシュ値からアドレスとパスワードを復元し、自動ログインする セッションを張って、指定ページを表示 一致しない場合 アクセス端末の情報と位置情報と改竄回数を取得しDB保存 改竄回数が３回以内の場合 クッキーを改竄している可能性があるとみなし、警告画面を表示させる 改竄回数が３回以上の場合 なにかしらの処理
修正後
■説明に必要なテーブル user id name surname mail password user_token （パスワード変更時に新規token発行とパスワード記録） id user_id pwssword token limit ■おおまかな処理 クッキーがない場合 ログイン画面へ遷移させる ログインする ログインに使用したアドレスとパスワードがDBに存在するか確認する 存在する場合 ログインユーザーが所持するパスワードのトークンを取得 そのトークンをクッキーに保存する セッションを張って、トップページへ 存在しない場合 ログイン画面へ戻りそんな会員いねえよという クッキーがある場合 クッキーに保存されているトークンと、user_tokenにそのトークンが存在するか確認する。 存在する場合 user_tokenから遡りアドレスとパスワードを探し、自動ログインする セッションを張って、指定ページを表示 存在しない場合 アクセス端末の情報と位置情報と改竄回数を取得しDB保存 改竄回数が３回以内の場合 クッキーを改竄している可能性があるとみなし、警告画面を表示させる 改竄回数が３回以上の場合 なにかしらの処理
回答4件
0
ベストアンサー
ここですが、
ハッシュ値からアドレスとパスワードを復元し、自動ログインする
ハッシュ値から元の平文は復元できませんが、おそらくDBからアドレスとパスワードを求めるという意味だと解釈しました。これなら可能ですよね。
それは良いのですが、以下がよくありません。
ログインに使用したアドレスとパスワードを組み合わせてハッシュ化する
この方法ですと、ハッシュ値は、パスワードを変更しない限り同じものになります。そうすると、ハッシュ値の有効期限を設定することができなくなりますし、ハッシュ値があればいつでもどこからでもログインできるので、そういうむやみに強力なものをクッキーに保存することは好ましくありません。
なので、ハッシュではなく、トークンを使います。トークンは、要は乱数ですね。提示いただいた処理は、概ねハッシュを使わなくてもトークンでも実装できます。考えてみて下さい。
トークンは、有効期限を設けることができます。有効期限はデータベースに保存しておきます。また、何らかの問題が発生した場合は、トークンの無効化も簡単にできます。
追記します。トークンですが、単純化した実例を書いてみます。
| メールアドレス | トークン | 有効期限 |
|---|---|---|
| tanaka@example.jp | 5b9636a4 | 2017/12/31 |
| sato@example.jp | NULL | NULL |
| takahashi@example.jp | a4f84d89 | 2017/12/01 |
| yamada@example.jp | NULL | NULL |
ログインに成功したら、トークンをクッキーとして出力するとともに、DBには上記のように記録しておきます。これで分かりませんか?
投稿2017/12/09 09:35
編集2017/12/09 14:03
総合スコア11701
0
そもそものログインの仕様が昨今のログインシステムで推奨されているやり方と違っています。
ログインに使用したアドレスとパスワードがDBに存在するか確認する
昨今のログインシステムに生パスワードは使用しません。
ハッシュ値の比較になります。
また、やろうとしていることは、セッションの自作にあたると思います。
この辺は自作しないほうが良いです。
投稿2017/12/09 09:15
退会済みユーザー
総合スコア0
セッション機構を自作をしないほうが良い一番の理由は、「安全なセッションID」の作成が困難であることがあげられます。かなり多岐にわたるセキュリティ知識がないと、考慮漏れを防ぐことが難しいです。
が、よく読むと、セッションの値として、「アドレスとパスワードを組み合わせてハッシュ化」したものを保存しておこうとしているんですかね？
であれば、セッション機構は、php のモノか、フレームワークのモノを利用するのだと思うので、指摘は的外れでした。
ただ、その場合は、「アドレスとパスワードを組み合わせてハッシュ化」したモノである必要性は無いので、 ockeghem さんの回答の通り、なんらかの適当な token を使用するほうが扱いが楽だと思います。
アドレスとパスワードを組み合わせてハッシュ化、と、セッション、は別の話です。
アドレスとパスワードを組み合わせてハッシュ化はクッキーの値としての想定でしたがトークン方式の切り替えを検討します。
セッションはクッキーとは別でバリデーション通過後にphp標準機能の使用を想定しています。
回答ありがとうございました。
fuelphp ですよね？
セッション機構がフレームワークで用意されているので、そちらの仕様も確認したほうが良いかと。
あと、Auth パッケージも用意されているようなので、安全性を確認するのであれば、そちらのフローをトレースするのがてっとり早い気がします。
http://fuelphp.jp/docs/1.7/packages/auth/intro.html
ありがとうございます。
Authやったことなく逆に時間かかりそうなので、その部分だけは仕組みだけ固めて自分でやろうとしてました。
fuelのAuthはクッキーもセッションも同時に扱っちゃう感じなんですかね、、、
私自身は、fuelphp を使用したことはありません。
が、フレームワーク内でセッションを利用する場合、フレームワークで用意されている以外のセッション機構を使用すると思わぬ不具合が発生する可能性があります。
fuel の Auth がどのような仕組みになっているのか追ったことはないですが、普通に考えると、フレームワークのセッション機構と密接に関連しているはずなので、php session に寄せるか、フレームワークのセッション機構 ＋ Auth か、決め打ちが必要になると思います。
ありがとうございます。
こちらは別で検討いたします。
0
提示の方法では実装できないのではないでしょうか。
試しに実装してみればわかることだと思いますが、
ハッシュ値からアドレスとパスワードを復元
ここが致命的な欠陥です。
ハッシュは不可逆です。
投稿2017/12/09 09:12
退会済みユーザー
総合スコア0
実装している段階ではなく、仕組みをまとめている段階です。
設計の時に、実験コードは書いたりしないんですか？
書いたりしないですね。
0
一応ご承知かもしれませんが
Cookieを用いて自動ログイン、RememberMeトークンを保持するやり方は、
そのトークンの保持期間が通常のセッションIDより相当長期間になるかと思います。
通信の盗聴による漏洩リスクがあるので、ログインページのみではなく
全てのページをHTTPSとするデフォルトHTTPSとするか、
SetCookieヘッダにsecureフラグを指定してCookieの送出抑制することが望ましいです。
また、ブラウザを別の人と共有している人を考慮して、
自動ログインをするかどうかという情報をチェックボックスなどで選択してもらい、
トークンのCookieでの送出をしないという手続きが必要です。
その設定についてもCookieを使って保存しておき、
いちいちチェックを外さなくてもいいようにしてあげると外し忘れミスが減ります。
Remember-Me というワードで検索すると色々出てくると思いますので、
そちらのソースを参考にされると良いと思います。
http://fuelphp.jp/docs/1.9/packages/auth/examples/auth.html
http://fuelphp.jp/docs/1.9/packages/auth/simpleauth/usage.html#/method_remember_me
投稿2017/12/12 02:46
総合スコア97
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2017/12/09 09:46
2017/12/09 14:04
2017/12/09 15:37 編集
2017/12/10 01:09