Django Bad Practices: Cookie Stored Sessions

ユーザーがログアウトしたとき、cookie 基準のセッションは無効になりません。攻撃者がユーザーの cookie を見つけて盗もうとするとき (傍受しようとするとき)、ユーザーがログアウトしていたとしても、そのユーザーになりすますことができます。

cookie にセッション データを保存することはいくつかの問題につながります。

1. ユーザーがログアウトしたとき、cookie 基準のセッションは無効になりません。攻撃者がユーザーの cookie を見つけて盗もうとするとき (傍受しようとするとき)、ユーザーがログアウトしていたとしても、そのユーザーになりすますことができます。

2. 改ざんを防止し、データが本物であることを保証する目的でセッションの cookie には署名が付きますが、反射攻撃は防げません。

3. セッション データは Django の暗号署名と SECRET_KEY 設定のためのツールを利用して保存されます。SECRET_KEY が漏洩された場合、攻撃者はセッション データを改ざんできるだけでなく、アプリケーションが Pickle を利用してセッション データをシリアライズして cookie に渡す場合、デシリアライゼーションのときに任意のコードを実行する、悪意のある Pickle 化データを作成できます。

4. セッション データは署名されますが、暗号化されません。つまり、攻撃者はセッション データを読むことができても改ざんすることはできません。

5. cookie サイズとシリアライゼーション プロセスは、サイトの負荷によっては、パフォーマンス問題を引き起こす可能性があります。