【Webアプリケーション】オートログイン機能の実装を考えています。出来るだけセキュリティに配慮した認証方法を知りたいです。

Webアプリケーションの検査を仕事としている者です。セッションはWebアプリケーションで必ず必要となるので、色んな意見があると思いますが、私としてはこんな風に考えています。まず通常のログイン。一般にはIDとパスワードで認証がOKになるとセッションIDが発行され、それがその後のアクセスではCookieで受け渡しされます。それに対しオートログインは、そもそもセッションIDがCookieに含まれているだけのこと。本質的には違いはありません。しかし問題となるのが、セッションIDの有効期限。通常の認証では認証ごとにIDが変わりますので、オートログインでもアクセスのたびにセッションIDを変化させれば、セッションハイジャックに対しては通常のログインと同じレベルの対策になるでしょう。となると残る問題は、IDとパスワードを知らなくてもログインできてしまう人がいるかもしれない、ということです。ここは、まず危険性を利用者に説明し、オートログインを使用するかしないか選択させることも必要でしょうが、システム側としては別な情報と組み合わせることで、本人を認識するとよいかと思います。別な情報とは、もう一つCookieを発行するもよし、HTTPの環境変数からUser-Agentを取得するもよし。だけど、それでもある人のブラウザを別な人が使ってしまうと、どうしようもありません。よってオートログインを使う場合は、アクセス範囲を限定するのも一つの手かと思います。オートログインの場合は、ユーザ別にカスタマイズされた画面やお知らせなど当たり障りのない内容を表示させ、登録内容の変更やパスワードの変更においては再度パスワードを入力させる。たとえば銀行系はそうですよね、取引の最後に暗証番号を入力させたり。ここまでしておけば、十分な対処になるかと思います。

ma-kanoh · Answer 5 · 2005-02-27T17:34:42+09:00

No.5

ma-kanoh15542005/02/27 17:34:42

http://www.josso.org/

Welcome to the Java Open Single Sign-On Project

というのは駄目?シングルサインオン実装のひとつですが。セキュリティはばっちし。かも。

既に認証システムがあるのと、シングルサインオン単体ではオートログインを実現できないと思いますので、今回の質問にはマッチしないです。質問を一旦終了します。皆さんのご意見を参考にしながらもう少し考えてみたいと思います。ありがとうございました。

2005/03/02 08:51:48

【Webアプリケーション】オートログイン機能の実装を考えています。出来るだけセキュリティに配慮した認証方法を知りたいです。

回答（5件）

FMR40602005/02/25 12:34:27

dev_zer0332252005/02/25 15:03:52

sadcns5302005/02/25 18:40:17

roiko6702005/02/27 12:23:08

ma-kanoh15542005/02/27 17:34:42

コメント（0件)

この質問への反応（ブックマークコメント）

トラックバック