kohana - Kohana でセッション ハイジャックを回避する

Question

Kohana フレームワークを使用したセッション ハイジャックを回避するために何か特別なことをする必要がありますか? セッションはKohana Sessionライブラリのみで操作されると仮定しています

Answer 1

ネイティブセッションは、Cookieの盗難から保護されていないため、ハイジャックされる可能性が最も高くなります。PHPが提供するデフォルト以外に、ネイティブセッションに適用されるセキュリティはほとんどありません。セキュリティを強化するには、おそらくユーザーエージェントまたはIPアドレスチェックを追加する必要があります。

Cookieセッションはソルトされ、暗号化をサポートします。セキュリティを強化するには、Cookie ::$saltを変更する必要があります。

データベースセッションもソルトCookieを使用してセッションIDを保存するため、ここでもソルトを変更する必要があります。

編集：ネイティブセッションを拡張するため、セッションに適用されるセキュリティが強化されたv2について話しています。このアプローチでは、PHPの奇妙な問題が発生しやすくなりますが、セキュリティが向上します。追加user_agentおよびip_addressチェックについては、セッション構成ファイルを確認してください。

Answer 2

セキュリティを強化するために、データベース セッションを使用し、Cookie (セッション ID を保持する) を暗号化します。

Answer 3

GitHubで関連ファイルをチェックアウトします。

使用するドライバー (ネイティブまたは db など) によっては、さらに深く掘り下げる必要がある場合があります。