teracc https://blog.hatena.ne.jp/teracc/ teracc’s blog https://blog.ts5.me/ セキュリティ SessionSafeは、ハンブルグ大学のMartin Johnsさんが書いたWeb APの方式案です。もしWeb APにXSS脆弱性があって、これが攻撃されたとしても、 セッションIDが盗まれない 当該ページ以外の情報が窃取・改竄されない ことを目指しています。面白いなーと思ったので、内容について少し書きます。なお、元記事を高速斜め読みしたので、この日記の内容には間違いが含まれているかもしれません。興味のある方は原本を見てください。 セッションIDが盗まれない 以下の二つのドメインがあるとします。www.example.com secure.example.comセッションIDのCookie… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Fblog.ts5.me%2Fentry%2F20070321%2F1174446558" title="SessionSafe: Implementing XSS Immune Session Handling - teracc’s blog" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> Hatena Blog https://hatena.blog 2007-03-21 12:09:18 rich https://blog.ts5.me/entry/20070321/1174446558 1.0 100%