水無月ばけらのえび日記

Cookieのpath指定はセキュリティ的に無意味

公開: 2010年5月1日23時5分頃

「共用SSLサーバの危険性が理解されていない (takagi-hiromitsu.jp)」。内容としては、「Cookieのpath指定はセキュリティ的に無意味」という話ですね。

Cookieを発行するときに path=/foo/ のように指定した場合、/foo/ 以外のディレクトリでは、Cookieを直接は読み取れなくなります。しかし、iframeを使うと、/foo/のコンテンツにアクセスすることができます。/foo/のコンテンツからはそのCookieを読むことができますから、結局、Cookieにアクセスすることが可能だというわけですね。

あくまで、ドメインを変えないと駄目ということです。

※ここではさくらインターネットが例に挙げられていますが、当然、さくらインターネットに限った話ではありません。

• 「Cookieのpath指定はセキュリティ的に無意味」にコメントを書く

関連する話題: セキュリティ / secure.softbank.ne.jp