10/12/12 17:27:06 v8NZG3VR0
BE鯖の抱える表面的な問題点
・Cookieが一時的なものではなく、パスワードを変えない限り半永久的に使えてしまう
・Cookie中のデータが暗号化されていない。メールアドレスは平文のまま、
認証コードの生成式も流出しているのでパスワードの逆算も可能
・サーバーサイドスクリプトが穴だらけでXSSの温床
根本的な問題点
・Cookie「のみ」で認証していること
例えばIPアドレスも含めて認証するようにすれば第三者が成りすますことは困難になる
そこら辺はここでも指摘されている
URLﾘﾝｸ(blog.livedoor.jp)
Cookieのみで認証する仕組みを変えれば、前述した表面的な問題点はある程度無視できる
XSSを根絶やしにするよりもよっぽど現実的な策であるはず