HTTP セッション識別子をローテーションする

glide.ui.rotate_sessions プロパティを使用して HTTP セッション識別子のローテーションを有効にし、セキュリティの脆弱性を軽減します。

認証後に非認証ユーザーのセッション ID が変更されない場合、Web アプリケーションはセッション固定化攻撃に対して脆弱になります。悪意のあるユーザーが非認証セッションを開始し、関連するセッション ID を被害者に提供する可能性があります。被害者が認証されると、悪意のあるユーザーがその認証済みセッションを共有するようになります。

詳細情報

属性	説明
プロパティ名	glide.ui.rotate_sessions
構成タイプ	システムプロパティ (/sys_properties_list.do)
カテゴリ	セッション管理
目的	より安全なセッション認証を実現すること
推奨値	true
デフォルト値	true
セキュリティリスク評価	8.8
機能への影響	この修正では、ユーザーが非認証ページから認証済みページに移動したときに SessionID が変更されました。 ユーザーの初回ログイン時に、または何らかの目的でプロキシを使用したり、SessionID をハードコーディングしたりすると、機能に影響を与える可能性があります。 Single Sign-on 認証に SAML 2.0 プラグインを使用している場合、インスタンスと ID プロバイダーの間で行われるセッション情報の共有が妨げられる可能性があります。そのような場合、このプロパティを false に設定できます。
セキュリティリスク	(中) SessionID は、ブラウザーでセッションステータスを維持することによって、インスタンスユーザーを処理および認証するために使用されます。したがって、SessionID は機密データと見なされ、デフォルトで安全である必要があります。セッションローテーションは、ユーザーが非認証ページから認証ページへ移動するたびに SessionID の変更を適用するセキュリティコントロールです。
参照	SAML による認証

システムプロパティの追加または作成の詳細については、「Add a system property」を参照してください。