セッションハイジャック対策
いつハイジャックされるのか
ハイジャックすると出来ること
パスワードが不要な操作は全てできる
パスワードは分からない
ハイジャックされた場合でも安全なサービスを作るには
ハイジャックされたアカウントをログアウトさせる方法を提供する
Googleのアカウントでは、セキュリティーチェックからログインしているデバイスを削除したり、2段階認証を設定することで全てのデバイスからログアウトさせられる。
ログイン状態でも、重要な操作時にはパスワードを要求する
パスワードやメールアドレス変更には、現在のパスワードを入力させる
Amazonは、ログイン中であっても購入時にパスワードを聞かれる
セッションハイジャック対策されていない環境
セッション保存の仕組みを自作している場合
要確認
Pyramid: セッション管理には一般的にBeakerを使う Signed cookies to prevent session hijacking/spoofing
Flask: TBD
Bottle: TBD