hiddenパラメータのメリットについて

[活ひらめ]

徳丸さん

はじめまして。

現在、本書を改めてよみ直しているものです。

前回の投稿から時間が経っておりますが、

2日くらい悩んで、わからなかったことがあったので、

質問させていただけますでしょうか。

P38の「hiddenパラメータのメリット」とういう項目にて、

「hiddenは、利用者自身からは、書き換えできるものの、情報漏洩や第三者からの

書き換えに対しては堅牢」という記載があります。

これについて、情報漏洩に関しては、

クッキーやセッション変数に比べてhiddenパラメータは、

ブラウザに保存されたりしないので、漏洩のリスクが少ない

（中間者攻撃などで漏れるのとは別に）

であると思っていますが、

第三者からの書き換えに対して堅牢とは、どういったことが想定されますでしょうか。

いろいろ考えてみたのですが、わかりませんでした。

もしお時間あれば、教えて頂けたら幸いです。

よろしくお願いいたします。

[徳丸浩]

活ひらめさん

徳丸です。こんにちは。

> これについて、情報漏洩に関しては、
> クッキーやセッション変数に比べてhiddenパラメータは、
> ブラウザに保存されたりしないので、漏洩のリスクが少ない
> （中間者攻撃などで漏れるのとは別に）
> であると思っていますが、
>
> 第三者からの書き換えに対して堅牢とは、どういったことが想定されますでしょうか。

Cookieの場合は下記で指摘した方法などにより書き換えが可能です。また、
Cookie Monster Bugという手法もあります。

HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
http://blog.tokumaru.org/2013/09/cookie-manipulation-is-possible-even-on-ssl.html

hiddenだと、単純なネットワーク経路上での盗聴・改変はできます（HTTPSでな
い場合）が、それ以外の手法での書き換え手段が限られているということですね。

hiddenパラメータは単なるGET/POSTパラメータであり、単純なだけに改変の手段
も限られるというのが直感的な理解になるかもしれません…がならないかもしれ
ません。

--
徳丸浩 <hiros...@tokumaru.org>
http://www.tokumaru.org/d/
http://d.hatena.ne.jp/ockeghem/

[活ひらめ]

徳丸様

ご返信が大変遅くなってしまい申し訳ございません。

返信頂きありがとうございます。

ブログ記事拝見させて頂きました。

hiddenだとCookieの比べて書き換えの手段が限られるということですね。

お忙しいところ、まことにありがとうございました。

日高

2015年6月30日火曜日 23時38分33秒 UTC+9 徳丸浩: