0

匿名掲示板を作成中です。仕様とご相談したいことは次の通りになります。
・イメージとしては5ちゃんねるみたいな匿名掲示板
・ログインはなし
・匿名だが各人にIDが振り分けられる
・IDの管理について悩んでいる

利用者が別のページに遷移したり、しばらく経って再び訪問した際、同じPCの同じブラウザからアクセスしたことを知るために、サーバーが発行したランダムな文字列のIDをサーバーのDBに保存し、利用者に発行する仕組みを作りました。利用者側からクッキーに保存されているこのIDをサーバーに送り、サーバーのDBのレコードと照合して同一人物であることを確認します。ここで長らく悩んでいるのはこのIDを利用者のブラウザのクッキーに保存することは危険ではないか、ということです(そのように書かかれているブログが散見されますし)。かといってブラウザのどこかにIDを保存しておかないと同一人物であることはわからないですよね(?)。

IDをクッキーに保存しないでセッションIDとしてJSON Web Token(JWT)をクッキーに保存する方法もあるようですが、JWT自体を他人に知られてしまえば、それを自分のPCのクッキーに設定すればなりすましができそうに思います。

クッキー自体見られたら諦めるしかないのか、ということでもなさそうな気がします。根本的なところから間違っているからも知れませんが、ヒントでもよいのでご教示いただければ幸いです。

4
  • 追記です。ユーザー同士が2人だけで個室に入って会話ができる機能を備えています。
    – kobo_jp
    Commented 2023年4月27日 3:37
  • 「個室に入って会話」は、一般的には「チャットルーム」と呼ばれる気がします。これなら入室のタイミングでランダムなIDを割り振るだけで良く、どこかに保存しておく必要も無さそうですが…
    – cubick
    Commented 2023年4月27日 8:28
  • @cubick 会話の履歴を残しておく(サーバーのDBに記録しておく)ためIDを固定しているのですが、おっしゃる通り個室に入る際には都度ランダムなIDを振って会話の履歴を残さずその場限りにすれば会話の内容が他に漏れるリスクはなくなりそうですね。参考にさせていただきます。ありがとうございました。
    – kobo_jp
    Commented 2023年4月27日 8:43
  • @cubick HTTPはステートレスなプロトコルです。従って、ランダムなIDを振って応答してそれで終わりです。ランダムなIDは何にも使えません。それを再利用できるようにするのがCookieです。
    – alpha
    Commented 2023年4月28日 11:25

3 件の回答 3

1

何に不安を感じているのか分かりませんが・・・

匿名アクセスを許さずユーザー認証が必要なサイトでも、認証チケットをクッキーに入れて HTTPS 通信でやり取りするというのはごく普通に行われていることです。

また、例えば、ネット通販サイトで最初は匿名アクセスしてカートに商品を入れ、決済する時にログインするということができるサイトで、ログイン前は匿名ユーザー用クッキーを使ってユーザーの識別を行うこともあります。

ということで、匿名ユーザーの識別用にクッキーを使うことに「根本的なところから間違っている」ということはないと思います。

3
  • ご回答ありがとうございます。素人が一人でプログラミングしているので自分のやっていることが正しいのか判断がつきかねて不安なのです。そうなんですね。匿名ユーザーの識別にクッキーを使ってもいいんですね。安心しました。長らく悩んでいたのでとても助かりました。ありがとうございました。
    – kobo_jp
    Commented 2023年4月26日 5:19
  • まあちょっと詳しい閲覧者なら自分のブラウザ上に保存されているクッキーを削除するのは簡単だし、クッキーなし状態でアクセスしてきたら別IDを発行=別人になるってことなので、同一人物である保証にクッキーを使っても無意味であろう(危険はないにせよ)とは言えそう。
    – 774RR
    Commented 2023年4月26日 5:21
  • @7774RR そうですね。クッキーなし状態でアクセスしてきたら別IDを発行するようにしています。ユーザーがクッキーを削除したら別人になるわけですが、そこはユーザーの判断に任せたいと考えています。閲覧履歴などがまっさらになるわけですが。ご回答ありがとうございました。
    – kobo_jp
    Commented 2023年4月26日 5:26
0

なりすましが起こるかどうかというよりもなりすましが起きたときにどうなるかも重要な視点です。
セッションIDをクッキーの形にして用いる場合、改めてログインすれば以前のセッションIDは無効になります。 (無効にします。)
仮にクッキーが盗まれても一時的にしか使えないのです。
セッションIDからIDやパスワードを推測しやすい構成になっていない限り問題は小さく抑えられます。

個人に紐づいたID自体がクッキーとして保存されていてそれが盗まれた場合にはサービスの管理者が対処しない限りなりすましっぱなしです。
そういう意味では危険と言えるでしょうね。

9
  • その通りなのですがどのように対処したらいいですか?
    – kobo_jp
    Commented 2023年4月26日 12:11
  • クッキーにIDを入れるというのを絶対の前提として設計するなら対処方法はないです。 発生してしまうリスクです。 そのリスクを呑むかどうかの問題です。 Commented 2023年4月26日 12:48
  • ご回答ありがとうございます。クッキーにIDを入れることが絶対的な前提ではなく、ほかの良い方法があればそれでもよいのですが、なんだかなさそうですね。リスク承知でやるしかないということですかね。
    – kobo_jp
    Commented 2023年4月27日 2:48
  • 認証要素がひとつだとそれが奪われたときに本当の持ち主かどうか検証する方法がありません。 だからこそ一般に個人を識別するIDとセッションIDを分離する設計になっています。 Commented 2023年4月27日 3:00
  • 1
    あなたのイメージはあなたが言葉にして説明しないと伝わりません。 あなたが「ような」と言っている5ちゃんねるの内のまねたい部分はどこですか。 5ちゃんねるのようにしたいと述べながら異なる仕様が提示されているので何を回答すればよいのか私にはわかりません。 Commented 2023年4月27日 4:21
0

なりすましを防止したいなら、ユーザーIDをCookieに保存するのは危険です。
ユーザーIDを盗聴されたり改ざんすることで、なりすましが可能です。
TLSを使うか否かで対処方法は変わりますが、どちらにしてもユーザーIDの真正性の確保が必要です。

6
  • ご回答ありがとうございます。ユーザーIDをクッキーに保存するのが危険だとすれば、ほかにどのような方法がありますか?セッションIDを保存してもリスクは同じだと思いますし。
    – kobo_jp
    Commented 2023年4月27日 2:53
  • 1
    ログイン制(実名)掲示板でのなりすまし防止策(=@alpha 氏の回答)と、その辺結構どうでもよい匿名掲示板でのなりすまし防止策ってのは違います。実のところ XY 問題のような気が。 Cookie を使うのはあなたの考えた対策 Y であって、その元になっている真の問題 X が提示されていません。何を危惧しているのか、真の問題を問い直したほうが良い結果になりそうです。
    – 774RR
    Commented 2023年4月27日 3:20
  • @774RR 再びご回答ありがとうございます。@alpha さんの回答はログイン制前提なのですね。おっしゃる通りログインの必要のない匿名掲示板を作成している最中なのですが、情けない話「真の問題」というのが自分でもよくわかっていません。最初に書くべきだったのかも知れませんが、匿名掲示板ですがユーザー同士2人だけの個室に入って会話することもできる設計になっています。なりすましされるとAさんがBさんと2人だけで話した会話をCさんに知られてしまうという懸念。これが真の問題なのかも知れません。個室を作ること自体間違っているのかも知れないとか思っています。
    – kobo_jp
    Commented 2023年4月27日 3:33
  • @774RR ログイン制かどうかは関係ありません。Cookie内の何らかのデータでどのセッションを維持するかを判断するのですから、その何らかのデータを他人のものにできればセッションをハイジャックできます。
    – alpha
    Commented 2023年4月27日 15:55
  • 2
    @kobo_jp 回答冒頭に書いた通り、(一般的な)なりすまされたくないことを前提に回答していますが、そうでないならこの回答は無意味です。まず、何をしたいのか・何をされたくないのかといった要求仕様を定義しなければ、どこにどのような脅威があるのかといった脅威分析はできませんし、脅威を軽減するための対策(システム設計)もできません。
    – alpha
    Commented 2023年4月27日 22:25

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。