回答編集履歴
1
追記
answer
CHANGED
|
@@ -11,4 +11,24 @@
|
|
|
11
11
|
ユーザIDが連番になっていると、別ユーザのユーザIDを容易に推測可能なので、たとえばリバースブルートフォース攻撃によりアカウントを奪われる可能性が高まります。
|
|
12
12
|
|
|
13
13
|
なお、いわゆる`ID`を`UUID`化すべきかはケースバイケースでしょう。
|
|
14
|
-
たとえば`ユーザーID`などはそうすべきでしょうが、`都道府県ID`のような推測されても問題ないものはその必要はないでしょう。
|
|
14
|
+
たとえば`ユーザーID`などはそうすべきでしょうが、`都道府県ID`のような推測されても問題ないものはその必要はないでしょう。
|
|
15
|
+
|
|
16
|
+
## 追記
|
|
17
|
+
|
|
18
|
+
同じような質問が見つかったので提示しておきます。
|
|
19
|
+
[Django 2.x: Is using the Primary Key of a Model in the URL pattern a security concern?](https://stackoverflow.com/questions/57478609/django-2-x-is-using-the-primary-key-of-a-model-in-the-url-pattern-a-security-co)
|
|
20
|
+
|
|
21
|
+
おおむね、IDが連番であることによるセキュリティ上の懸念は考えられるが
|
|
22
|
+
そもそもそのIDが指すモノに対する取得、閲覧、変更などの認可制御を適切に処理する仕組みがあるのでそれを使うべき。
|
|
23
|
+
|
|
24
|
+
といった回答がついています。
|
|
25
|
+
|
|
26
|
+
また[安全なウェブサイトの作り方](https://www.ipa.go.jp/security/vuln/websecurity.html)の`1.11 アクセス制御や認可制御の欠落`にも同様な記載がされていました。
|
|
27
|
+
|
|
28
|
+
> これも、認可制御が実装されていないために生じる脆弱性です。データベースを検索するための注
|
|
29
|
+
文番号が、ログイン中の利用者に閲覧を許可された番号であるかどうかを常に確認するように実装し
|
|
30
|
+
てください。
|
|
31
|
+
|
|
32
|
+
UUID化のメリットとしては「他のIDの推測を回避できる」点くらいです。
|
|
33
|
+
よってコピーサイトの作成などを目的としたデータの**一括取得**対策にはなるでしょう。
|
|
34
|
+
ただしIDの指すモノに対するセキュリティはシステムで用意された認可制御を用いるべきです。
|