[PHP-users 23894] Re: 別ページのアイフレーム内での動作について

[Ryosuke Hosoi]

ほそいです

From: SHIRAFU Makoto <escvel ＠ terra.dti.ne.jp>
Subject: [PHP-users 23892] Re: 別ページのアイフレーム内での動作について
Date: Sun, 12 Dec 2004 18:38:00 +0900
Message-ID: <20041212182959.C8F1.ESCVEL ＠ terra.dti.ne.jp>

> > ここで言うセッションはクッキーで管理されるセッションのことですよね？
> > snifferのことを考えると、GET/POST/COOKIEに関わらずhttpsでない限り
> > 可能ですから、(GETにせよPOSTにせよ)「hiddenで渡す」ということに
> > 対してだけsnifferの可能性を考えるというのは変だと。
> 　そうですね。
> 　私の中での「セッション」の定義とは、[PHP-users 23871]で仲村さ
> んが、
> > ホストを移るときに セッション の全ての内容を hidden で引き渡せば
> と仰っていたので、「セッション変数の管理下にあるデータすべて」と
> いう風に捉えていました。
> 　それで、「そのようなデータ全てをhiddenでユーザに見えない所で転
> 送するのは危険なのでは?」との意図で、[PHP-users 23881]を書きまし
> た。

なるほど、確かに、セッションの管理するデータを送ると考えると、
個人情報などを含んでしまう可能性はあります

> 　この時点で、hiddenで転送する際に「暗号化されている」という定
> 義がなかったので、前文の状態(ユーザが関知しない所)で、「平文状
> 態のデータが転送行われると、最悪の場合、第三者が何度でもそのデー
> タを送れてしまうのでは?」というのが主旨です。
> 
> 　これは、[PHP-users 23871]を最初読んだときに、「hiddenを使った
> リダイレクト」というイメージで受け取った/読み取ったので、その仕
> 組みがわかれば、偽装は容易なのでは?という疑問から始まっています。

仕組みがわかれば偽装が容易という意味では、http全般がそうなの
で、注意しなくてもいいとは全くいわないですが、気にしすぎると
何も出来なくなってしまうというようにも思えます。

仲村さんの

> お客さんの買う商品ですから書き換えができても問題ないかなと思います。

と書かれたのを、なんだか悪い意味というか軽い意味でとってしま
うと不安になるんですが、これはカートのサイトでは商品と数と金
額を指定して、購入のサイトでは注文情報を入力する、ということ
だと考えると、よくあるレンタルのカートシステムや決済サイトで
やってることと変わらないことだな、と判断しました。

もちろん実装方法によっては危いことになりえるというのはありま
すので、実装する人には十分すぎるほど考えて実装して欲しいな、
とは思います。

-- 
 Ryosuke Hosoi / 細井 良祐
 mailto:hosoi ＠ ryo.com http://www.ryo.com/
 PGP Public Key http://www.ryo.com/ryo/hosoi.ryo.com.asc
 fingerprint = 4F39 61B0 2034 3A5C DFE8  FBCB 7B99 90CF EBE1 A3F3