Intro Chrome チームより提案された Device Bound Session Credentials の実装が進み、Flag 付きで試すことができる。 この提案の背景と、解決する問題、現時点での挙動について解説する。 背景 2FA や Passkey の普及により、認証部分はかなりセキュアになってきた。インシデントによりパスワードが漏洩しても、それだけでなりすましを成立させるのも困難になっている。 そこで攻撃者の注目を集めているのが、Cookie の窃取(Cookie Theft)だ。 認証がいかに堅牢になっても、有効な Session Cookie を盗むことができれば、その値を Cookie フィールドに付与してリクエストするだけで、なりすましを成立させることができる。 いわゆる Session Cookie は、Proof of Authentication として実装さ
Cookie にアクセスするには phantom.cookies を使う。Mac OS X の場合、セッション Cookie を保存するために コマンドラインオプションの --cookies-file=/path/to/cookies.txt を指定しても、空の Cookie が保存されてしまうので、fs モジュールで直接保存することにした (stackoverflow の回答より)。 var page = require('webpage').create(); var url = 'http://localhost:3000'; var fs = require('fs'); var file = 'cookies.txt'; if (fs.isFile(file)) { var data = fs.read(file); phantom.cookies = JSON.parse(da
[37] Domain 属性がなければ、起源鯖だけにクッキーを送信するべきであることを表しています。 >>34 構文[33] RFC 6265 における Domain 属性の構文 domain-av = "Domain=" domain-value domain-value = <subdomain> ; defined in [RFC1034], Section 3.5, as ; enhanced by [RFC1123], Section 2.1先頭の .[38] RFC 6265 の構文では先頭の . は認められていません。また、先頭にあった場合には、 これを無視することになっています >>34, >>46。
[これは米国 Mozilla のブログ記事 What are Internet Cookies? の抄訳です] 今日はクッキーについてのお話です。甘くて、おいしい．．．ではなくて、インターネットの Cookie (クッキー) です。 Web サイトは、あなたの情報を PC 内にある Cookie というファイルに保存します。再び同じ Web サイトを訪れたとき、Cookie ファイルを読み込むことで、あなたのことを思い出すことができます。例えば、ある Web サイトへアクセスした時にその Web サイトがあなたのユーザ名やパスワードを知っているのは、Cookie によって実現されていることなのです。 Cookie の中には、あなたについて詳細な情報を保存しているものもあります。例えば、興味のあることや Web サイトの閲覧記録などです。Web サイトは、これらの情報を元にあなたの興味に合っ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
