はじめに

この記事はWebの基礎をおさらいカレンダー Advent Calendar 2022の3日目です。
このカレンダーでは、なんとなくわかった気になっている、Webの知識をおさらいするカレンダーです。
興味をもし持ってくださった方は、購読いただけると嬉しいです！

3日目は、セッション管理について紹介します。

セッションとは

HTTPはステートレスなので、通信状態を保持しません。
そのため、ユーザーを識別し、状態を管理するために、セッション管理を行う必要がある。

セッション管理を行うことで、ログインしたユーザーごとに異なるマイページを表示したり、ECサイトでカートに商品を保持したりといったことが行えるようになる。

続いて、セッション管理の方法について説明していきます。

以下の三つの方法がありますが、CookieにセッションIDを保存するやり方が主流です。
他の方法は、セキュリティリスクが大きかったり、実装が大変だったりするためです。

上記、三つの方法について、具体的に説明していきます。

URLのクエリストリングにセッションIDを埋め込む方式です。
例: example.com?sid=12345
常に、セッションIDが付与されている状態のため、URLが漏洩した瞬間、情報漏洩につながります。

この手法は、基本的に使わないでください。
検索エンジンがセッションID付きのURLをキャッシュしてしまったり、SNSなどでURLを共有するなど
簡単にセッションIDを漏洩してしまう危険があります。

フォームのhiddenフィールドにセッションIDを埋め込む方式です。
ページ遷移を全てフォームで行う必要があるため、ユーザー体験に影響が出ないようにするには工夫が必要です。
セキュリティリスクは一番低いので、購入ページなどの重要箇所といった部分的な使用がおすすめです。

名前の通り、セッションを乗っ取る(ハイジャックする)行為です。
セッションが乗っ取られる原因として、以下が挙げられます。

推測されやすいセッションIDになっている
- 日付や固有名など推測しやすいものの場合、総当たり攻撃や推察によって突破されてしまう。
ユーザーからセッションIDを抜き取る
- XSSによるCookie情報の抜き取り
- HTTP通信でのCookie情報の抜き取り
セッションIDの固定化(セッション・フィクセーション)
- URLにセッションIDを埋め込む
- CookieのセッションIDをXSSなどで上書きする
- Set-Cookieヘッダーを追加して任意の値を設定する

以上、 Webでのセッション管理方法についての説明でした！
セキュリティリスクに気をつけながら、セッション管理をうまく活用しましょう！

Webの基礎をおさらいカレンダー Advent Calendar 2022の3日目でした。
興味をもし持ってくださった方は、購読いただけると嬉しいです！