クッキーの物理コピペ -> 不正ログイン対策

Question

前提・実現したいこと

自動ログインを実装しています。

1. クッキーに自動ログイン用のデータを保存しました。
2. https通信やクッキーの適切なオプションの属性など設定し、通信によって不正取得されない状況と仮定とします。
3. しかしPCに物理的に触られて（見られて）しまい、クッキーをコピーされた場合、他人に自動ログインされてしまいます。

自動ログイン用のデータを、暗号化やhash化をしても、直接的に情報を解読しにくいだけで、
「全文をコピペ」
「全文をスマホで写メ」
などして、悪意あるユーザーが別ブラウザーで、全く同じKeyValでクッキーの送信すると自動ログイン出来てしまいます。

実現したい事は、
このような物理でのクッキー盗聴に対して、対策や工夫はあるのでしょうか？

試したこと、及び理想の状態

PHP7.3のセッションIDで、同様にKeyValをコピペして試した場合は、
セッションを使ったログイン（session_start()関数）では、認証は出来ませんでした。
C言語が読めないので、どういった工夫で成りすましを識別しているか不明ですが、理想の挙動は正にコレです。

セッション切された後の、RememberMe（自動ログイン用のクッキー情報）でも、
セッションIDと同様の挙動ができる工夫はあるのでしょうか？
コピペで偽造されたクッキーを識別する方法を知りたいです。

思いついたこと

今のところ思いつくのは、
完璧でないにせよ、自動ログイン用tokenを発行したリクエストのIPを、tokenに混ぜる、、です。
しかし、スマホだとコロコロIPが変わるので
「確実に不正が防げるわけではない&&にも関わらず不便になる」という予想から見送ってます。

お手数おかけしますが、お知恵をお貸し下さい。。

Answer 1

通常のブラウザアプリの場合、クッキーを窃取された場合になりすましされることは許容しています。ご指摘のように、簡便で有効な対策がないことと、そもそもブラウザからクッキーを窃取される状況では、端末自体を「ハイジャックされている」わけですから、ウェブアプリケーション側で頑張っても仕方ない、ということがあると思います。類似の状況として、パソコン等がウイルス感染している場合の対処も、通常はあまり頑張らずに、「ウイルスに感染したら仕方ない」と考えます。

PHP7.3のセッションIDで、同様にKeyValをコピペして試した場合は、
セッションを使ったログイン（session_start()関数）では、認証は出来ませんでした。
C言語が読めないので、どういった工夫で成りすましを識別しているか不明ですが、理想の挙動は正にコレです。

ここは、おっしゃっている意味がわかりませんでした。

今のところ思いつくのは、
完璧でないにせよ、自動ログイン用tokenを発行したリクエストのIPを、tokenに混ぜる、、です。
しかし、スマホだとコロコロIPが変わるので
「確実に不正が防げるわけではない&&にも関わらず不便になる」という予想から見送ってます。

この種の方法は、「現場の知恵」として実装されることは結構あります。IPアドレスの他、User-Agent等も利用されます。ご指摘のようにメリットがあまりない上にデメリットもあるので、「おすすめ」というわけではありません。

ということで、あまり有効な対策もないのですが、参考になるものとしては、再認証やオンラインバンキングでの二経路認証などがあります。これらは、通常の「なりすまし」は最悪許容するが、個人情報閲覧や振込操作等の前には、パスワードをもう一度入力してもらうとか、スマホアプリ側にユーザー操作の内容を転送して、スマホ側で許可を与えるというものです。
これらも、「そこまでするか?」とも思いますが、要求次第かと思います。

Comments

[mj-tm]

ご回答ありがとうございました。
重要な動作の前には、対策として、再認証や二経路認証を検討致します。