JP2009140163A - Session management device - Google Patents
Session management device Download PDFInfo
- Publication number
- JP2009140163A JP2009140163A JP2007314809A JP2007314809A JP2009140163A JP 2009140163 A JP2009140163 A JP 2009140163A JP 2007314809 A JP2007314809 A JP 2007314809A JP 2007314809 A JP2007314809 A JP 2007314809A JP 2009140163 A JP2009140163 A JP 2009140163A
- Authority
- JP
- Japan
- Prior art keywords
- session
- web
- management
- web server
- client
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Abstract
Description
本発明はセッション管理装置に関し、特に、Ｗｅｂアプリケーションなどで使用されるセッションＩＤを詐称した「なりすまし」を防止する方法に適用して好適なものである。 The present invention relates to a session management apparatus, and is particularly suitable for application to a method for preventing “spoofing” by misrepresenting a session ID used in a Web application or the like.
近年のインターネットの普及に伴って、電子申請やオンラインショッピングを始めとした様々な手続きや業務が電子化されている。この電子化にあたっては、パーソナルコンピュータに標準搭載されているＷｅｂブラウザをクライアントソフトとし、オンラインショッピングに代表されるＷｅｂアプリケーションを構築することが盛んに行われている。
このＷｅｂアプリケーションの構築に当たっては、ＨＴＴＰというプロトコルが通常用いられる。このＨＴＴＰというプロトコルはステートレスなプロトコルであり、一回のリクエストとレスポンスにより処理が完結する仕組みが採用され、リクエストとレスポンスのやり取りを複数回にわたって管理するためのセッションという概念が備わっていない。オンラインショッピングに代表されるＷｅｂアプリケーションでは、ユーザを識別したり、ユーザが入力した内容を記憶したりする必要があるが、ＨＴＴＰというプロトコルが用いられているため、セッションを管理することができない。
With the spread of the Internet in recent years, various procedures and operations such as electronic application and online shopping have been digitized. In this computerization, a Web application typified by online shopping has been actively built by using a Web browser standardly installed in a personal computer as client software.
In constructing this Web application, a protocol called HTTP is usually used. This HTTP protocol is a stateless protocol, adopts a mechanism in which processing is completed by a single request and response, and does not have a concept of a session for managing the exchange of requests and responses multiple times. In a Web application represented by online shopping, it is necessary to identify a user and memorize the contents input by the user, but the session cannot be managed because a protocol called HTTP is used.
この問題の解決策として、クライアントとサーバ間でのやりとりの際にセッションＩＤと呼ばれるセッションを識別するための識別子の受け渡しを行うことが広く行われている。
具体的には、ある段階でサーバがセッションＩＤを採番し、ＨＴＴＰレスポンス中に含めて受け渡す。クライアントは、その後のリクエスト時に受け取ったセッションＩＤをサーバに送る。サーバは、受け取ったセッションＩＤを確認してセッションを特定する。
As a solution to this problem, an identifier for identifying a session called a session ID is widely exchanged between a client and a server.
Specifically, at a certain stage, the server assigns a session ID and passes it in the HTTP response. The client sends the session ID received at the subsequent request to the server. The server identifies the session by confirming the received session ID.
この方法では、セッションＩＤが第三者に知られると、俗に言う「なりすまし」による不正アクセスが実行される危険性がある。すなわち、セッションＩＤの受け渡しは、Ｃｏｏｋｉｅと呼ばれる仕組みやＵＲＬの一部分を利用する仕組み、Ｈｉｄｄｅｎパラメータを利用する仕組みなどが一般に知られているが、どの手法においても、通信路の盗聴などにより、セッションＩＤが第三者に知られてしまう危険性がある。 In this method, if the session ID is known to a third party, there is a risk that an unauthorized access by “spoofing” is executed. That is, a session ID is generally known as a mechanism called Cookie, a mechanism that uses a part of a URL, a mechanism that uses a Hidden parameter, or the like. There is a risk that will be known to third parties.
このような第三者が略取したセッションＩＤを使用して不正なアクセスを行う行為はセッションハイジャックと呼ばれ、Ｗｅｂアプリケーションに対するセキュリティ上の脅威として問題視されており、セッションＩＤの有効期限を設定するという対抗策が考えられている。
また、特許文献１には、Ｗｅｂシステムにおけるセッション管理に関して、セッションハイジャックの危険性を低減するために、Ｗｅｂクライアントからのアクセス毎に当該Ｗｅｂクライアントとの間のセッションＩＤの更新登録を行う方法が開示されている。
The act of performing unauthorized access by using a session ID that is taken by a third party is called session hijacking and is regarded as a problem as a security threat to Web applications. Countermeasures are being considered.
図８は、従来のセッション管理処理の流れの一例を示すシーケンス図である。
図８において、Ｗｅｂクライアント１３上には表示画面１３ａが設けられ、表示画面１３ａにはＷｅｂアプリケーションに応じたログイン画面が表示される。そして、ログイン画面上でユーザＩＤやパスワードが入力され、ログインボタンが押下されると、Ｗｅｂクライアント１３からＷｅｂサーバ１２に認証情報が送信される（ステップＳ６０１）。そして、Ｗｅｂサーバ１２は、Ｗｅｂクライアント１３から認証情報を受信すると、アカウントデータベース１４を参照することで、Ｗｅｂクライアント１３を認証する（ステップＳ６０２）。そして、Ｗｅｂクライアント１３が認証されると、Ｗｅｂサーバ１２は、セッションＩＤ１を採番し（ステップＳ６０３）、セッションデータベース１５に新規登録するとともに（ステップＳ６０４）、ＨＴＴＰレスポンスをＷｅｂクライアント１３に返し、セッションＩＤ１をＷｅｂクライアント１３に受け渡すことで（ステップＳ６０５）、Ｗｅｂクライアント１３はフレーム構造のみ取得する。
FIG. 8 is a sequence diagram showing an example of the flow of conventional session management processing.
In FIG. 8, a
ここで、ログイン後の表示画面１３ａがフレーム１、２によって複数の画面から構成される場合、フレーム１、２にアクセスするための複数のリクエストが行われ、セッションＩＤ１がＷｅｂサーバ１２に受け渡される（ステップＳ６０６、Ｓ６１０）。
そして、Ｗｅｂサーバ１２は、Ｗｅｂクライアント１３からフレーム１にアクセスするためのリクエストを受信すると、セッションデータベース１５を参照することで、セッションＩＤ１を確認する（ステップＳ６０７）。そして、セッションＩＤ１の確認がとれると、Ｗｅｂサーバ１２は、セッションＩＤ２を採番し（ステップＳ６０８）、セッションＩＤ１をセッションデータベース１５から削除するとともに、セッションＩＤ２をセッションデータベース１５に更新登録する（ステップＳ６０９）。そして、Ｗｅｂサーバ１２は、フレーム１に対応したＨＴＴＰレスポンスをＷｅｂクライアント１３に返し、セッションＩＤ２をＷｅｂクライアント１３に受け渡すことで（ステップＳ６１１）、表示画面１３ａ上にフレーム１の正常な内容が表示される。
Here, when the
Then, when receiving a request for accessing
また、Ｗｅｂサーバ１２は、Ｗｅｂクライアント１３からフレーム２にアクセスするためのリクエストを受信すると、セッションデータベース１５を参照することで、セッションＩＤ１を確認する（ステップＳ６１２）。ここで、セッションデータベース１５上ではセッションＩＤ１が既に削除され、セッションＩＤ１の確認がとれないため、フレーム２に対応したＨＴＴＰレスポンスとしてエラーがＷｅｂクライアント１３に返され（ステップＳ６１３）、表示画面１３ａ上にフレーム２のエラーの内容が表示される。
In addition, when receiving a request for accessing the
図９は、従来のセッション管理処理の流れのその他の例を示すシーケンス図である。
図９において、ログイン画面上でユーザＩＤやパスワードが入力され、ログインボタンが押下されると、Ｗｅｂクライアント１３からＷｅｂサーバ１２に認証情報が送信される（ステップＳ７０１）。そして、Ｗｅｂサーバ１２は、Ｗｅｂクライアント１３から認証情報を受信すると、アカウントデータベース１４を参照することで、Ｗｅｂクライアント１３を認証する（ステップＳ７０２）。そして、Ｗｅｂクライアント１３が認証されると、Ｗｅｂサーバ１２は、セッションＩＤ１を採番し（ステップＳ７０３）、セッションデータベース１５に新規登録するとともに（ステップＳ７０４）、ＨＴＴＰレスポンスをＷｅｂクライアント１３に返し、セッションＩＤ１をＷｅｂクライアント１３に受け渡すことで（ステップＳ７０５）、Ｗｅｂクライアント１３はメニュー画面を取得する。
FIG. 9 is a sequence diagram showing another example of the flow of conventional session management processing.
In FIG. 9, when a user ID or password is input on the login screen and the login button is pressed, authentication information is transmitted from the
ここで、メニュー画面には複数の画面１、２へのリンクが含まれ、メニュー画面上で画面１へのリンクが押下された場合、画面１にアクセスするためのリクエストが行われ、セッションＩＤ１がＷｅｂサーバ１２に受け渡される（ステップＳ７０６）。
そして、Ｗｅｂサーバ１２は、Ｗｅｂクライアント１３から画面１にアクセスするためのリクエストを受信すると、セッションデータベース１５を参照することで、セッションＩＤ１を確認する（ステップＳ７０７）。そして、セッションＩＤ１の確認がとれると、Ｗｅｂサーバ１２は、セッションＩＤ２を採番し（ステップＳ７０８）、セッションＩＤ１をセッションデータベース１５から削除するとともに、セッションＩＤ２をセッションデータベース１５に更新登録する（ステップＳ７０９）。
Here, the menu screen includes links to a plurality of
Then, when receiving a request for accessing the
そして、Ｗｅｂサーバ１２は、画面１に対応したＨＴＴＰレスポンスをＷｅｂクライアント１３に返し、セッションＩＤ２をＷｅｂクライアント１３に受け渡す（ステップＳ７１１）。ここで、Ｗｅｂサーバ１２による処理中に画面２へのリンクが押下された場合、ブラウザは画面１への接続を既に廃棄しているため、画面１への接続が無効化される。
また、画面２へのリンクが押下されると、画面２にアクセスするためのリクエストが行われ、セッションＩＤ１がＷｅｂサーバ１２に受け渡される（ステップＳ７１０）。
Then, the
When the link to the
そして、Ｗｅｂサーバ１２は、Ｗｅｂクライアント１３から画面２にアクセスするためのリクエストを受信すると、セッションデータベース１５を参照することで、セッションＩＤ１を確認する（ステップＳ７１２）。ここで、セッションデータベース１５上ではセッションＩＤ１が既に削除され、セッションＩＤ１の確認がとれないため、画面２に対応したＨＴＴＰレスポンスとしてエラーがＷｅｂクライアント１３に返され（ステップＳ７１３）、表示画面１３ａ上にエラーの内容が表示される。
しかしながら、セッションＩＤの有効期限を設定する方法では、有効期限が短かすぎれば、ユーザの利便性が低下し、有効期限が長すぎると、セッションハイジャックへの防止効果が低下するという問題があった。加えて、セッションＩＤの有効期限を設定する方法では、最後のアクセスから有効期限内に操作されなかった場合にセッションＩＤが無効化され、ユーザがＷｅｂアプリケーションを利用し続けている間はセッションＩＤは有効であるため、セッションハイジャックへの防止効果としてはそれほど高くない。 However, the method of setting the expiration date of the session ID has a problem that if the expiration date is too short, the convenience of the user is lowered, and if the expiration date is too long, the effect of preventing session hijacking is reduced. It was. In addition, in the method of setting the expiration date of the session ID, the session ID is invalidated when the operation is not performed within the expiration date from the last access, and the session ID is kept while the user continues to use the web application. Since it is effective, it is not so high as an effect to prevent session hijacking.
また、特許文献１に開示された手法では、図８および図９に示したように、同じセッションＩＤで複数のリクエストが送られる場合やサーバが処理中にクライアント側で別なページへ遷移するボタンが押された場合などでは、正規のユーザであるにも関わらずエラーとなるという問題があった。
そこで、本発明の目的は、正規のユーザによる正常なアクセスの妨害となるのを防止しつつ、セッションハイジャックの危険性を低減することが可能なセッション管理装置を提供することである。
Further, in the method disclosed in
SUMMARY OF THE INVENTION An object of the present invention is to provide a session management apparatus that can reduce the risk of session hijacking while preventing the normal user from hindering normal access.
上述した課題を解決するために、請求項１記載のセッション管理装置によれば、ＷｅｂクライアントとＷｅｂサーバとの間で受け渡されるセッションＩＤを前記Ｗｅｂクライアントからのアクセスの度に採番するセッションＩＤ採番手段と、前記Ｗｅｂクライアントからの一連のアクセスを前記Ｗｅｂサーバ側で管理する管理ＩＤを前記セッションＩＤに付与し、前記管理ＩＤを付与された前記セッションＩＤの情報に基づき、前記Ｗｅｂクライアントから受け渡されるセッションＩＤの有効・無効を確認するセッションＩＤ管理手段とを備えることを特徴とする。
In order to solve the above-described problem, according to the session management device according to
また、請求項２記載のセッション管理装置によれば、前記セッションＩＤ管理手段は、互いに異なる複数のセッションＩＤに同一管理ＩＤの付与を許容することを特徴とする。
また、請求項３記載のセッション管理装置によれば、前記セッションＩＤ管理手段は、セッションＩＤを使用したアクセス回数を利用し、既に使用されたセッションＩＤを使用回数に基づいて任意のタイミングで無効化することを特徴とする。
According to the session management apparatus of the second aspect, the session ID management unit allows the same management ID to be given to a plurality of different session IDs.
According to the session management device of
また、請求項４記載のセッション管理装置によれば、前記セッションＩＤ管理手段は、セッションＩＤを使用したアクセスからの経過時間を利用し、既に使用されたセッションＩＤをその使用後の有効時間に基づいて任意のタイミングで無効化することを特徴とする。
また、請求項５記載のセッション管理装置によれば、前記セッションＩＤ管理手段は、あるセッションＩＤの使用後に新たに発行されたセッションＩＤの個数を利用し、既に使用されたセッションＩＤを前記セッションＩＤの世代に基づいて任意のタイミングで無効化することを特徴とする。
According to the session management device of claim 4, the session ID management means uses an elapsed time from access using the session ID, and based on the already used session ID based on the valid time after use. And invalidating at an arbitrary timing.
Further, according to the session management apparatus of claim 5, the session ID management means uses the number of session IDs newly issued after using a certain session ID, and uses the session ID already used as the session ID. It is characterized by invalidating at an arbitrary timing based on the generation.
以上説明したように、本発明によれば、Ｗｅｂクライアントからのアクセスの度にセッションＩＤを採番し、互いに異なる複数のセッションＩＤが同時刻に有効になるのを許容しつつ、所定の条件下でセッションＩＤを無効化することが可能となるとともに、セッションＩＤに管理ＩＤを付与することで、Ｗｅｂクライアントからのアクセスの度にセッションＩＤを採番した場合においても、Ｗｅｂクライアントからの一連のアクセスを管理することができる。
このため、正規のユーザによる正常なアクセスの妨害となるのを防止しつつ、セッションハイジャックの危険性を低減することが可能となるとともに、リクエストとレスポンスのやり取りを複数回にわたって管理することができ、オンラインショッピングに代表されるＷｅｂアプリケーションにおけるユーザの識別処理や、ユーザによる入力データの記憶処理などを一括して管理することができる。
As described above, according to the present invention, a session ID is assigned for each access from a Web client, and a plurality of different session IDs are allowed to be valid at the same time, under a predetermined condition. It is possible to invalidate the session ID with the ID, and by assigning a management ID to the session ID, a series of accesses from the Web client even when the session ID is assigned each time the Web client accesses. Can be managed.
For this reason, it is possible to reduce the risk of session hijacking while preventing disruption of normal access by legitimate users, and to manage the exchange of requests and responses multiple times. In addition, it is possible to collectively manage user identification processing, input data storage processing, and the like in a Web application typified by online shopping.
以下、本発明の実施形態に係るセッション管理装置について図面を参照しながら説明する。
図１は、本発明の一実施形態に係るセッション管理装置が適用されるＷｅｂシステムの概略構成を示すブロック図である。
図１において、Ｗｅｂシステムには、Ｗｅｂサーバ１０２およびＷｅｂクライアント１０３ａ〜１０３ｃが設けられ、Ｗｅｂサーバ１０２とＷｅｂクライアント１０３ａ〜１０３ｃとはネットワーク１０１を介して接続されている。
Hereinafter, a session management apparatus according to an embodiment of the present invention will be described with reference to the drawings.
FIG. 1 is a block diagram showing a schematic configuration of a Web system to which a session management apparatus according to an embodiment of the present invention is applied.
In FIG. 1, the Web system includes a
なお、ネットワーク１０１としては、ＬＡＮまたはＷＡＮなどの他、インターネットなどのネットワークを用いることができる。また、Ｗｅｂサーバ１０２としては、例えば、パーソナルコンピュータを用いることができ、Ｗｅｂクライアント１０３ａ〜１０３ｃとしては、パーソナルコンピュータなどの他、携帯電話などの携帯情報端末を用いることができる。また、Ｗｅｂクライアント１０３ａ〜１０３ｃには、Ｗｅｂブラウザをクライアントソフトとして搭載し、Ｗｅｂサーバ１０２には、オンラインショッピングなどのＷｅｂアプリケーションを搭載することができる。また、Ｗｅｂサーバ１０２は、そこに搭載されるＷｅｂアプリケーションの数に応じて複数台で構成するようにしてもよい。
The
図２は、図１のＷｅｂサーバおよびＷｅｂクライアントの概略構成を示すブロック図である。
図２において、Ｗｅｂクライアント１０３ａ〜１０３ｃにはＷｅｂブラウザ２０１がそれぞれ搭載され、Ｗｅｂサーバ１０２には、Ｗｅｂサーバソフト２０２およびＷｅｂアプリケーション２０３が搭載されている。また、Ｗｅｂサーバ１０２には、セッションの管理を行うセッション管理部２０４が設けられている。なお、セッション管理部２０４は、Ｗｅｂアプリケーション２０３の一部として動作するようにしてもよい。
FIG. 2 is a block diagram showing a schematic configuration of the Web server and Web client of FIG.
In FIG. 2, a
Ｗｅｂブラウザ２０１は、ＨＴＴＰやＨＴＴＰを利用するプロトコル（ＳＳＬやＴＬＳなど。以下、総称してＨＴＴＰと呼ぶ）を使用することで、ネットワーク１０１を介してＷｅｂサーバソフト２０２との間で処理要求の送信や処理結果の受信を行うことができる。
Ｗｅｂサーバソフト２０２は、Ｗｅｂブラウザ２０１より送られた処理要求をＷｅｂアプリケーション２０３に受け渡したり、Ｗｅｂアプリケーション２０３による処理結果（ＨＴＭＬ、ＸＭＬ、ＴＥＸＴのようなテキストデータや画像・動画に代表されるバイナリデータ）をＷｅｂブラウザ２０１に送信したりすることができる。
The
The
Ｗｅｂアプリケーション２０３は、Ｗｅｂサーバソフト２０２から受け取った処理要求を元にセッション管理部２０４と連携して一連のアクセスを識別し、所定の処理を行ってＷｅｂサーバソフト２０２に受け渡すことができる。
セッション管理部２０４は、Ｗｅｂクライアント１０３ａ〜１０３ｃとＷｅｂサーバ１０２との間で受け渡されるセッションＩＤをＷｅｂクライアント１０３ａ〜１０３ｃからのアクセスの度に採番し、Ｗｅｂクライアント１０３ａ〜１０３からの一連のアクセスをＷｅｂサーバ１０２側で管理する管理ＩＤをセッションＩＤに付与することができる。
The
The
そして、セッション管理部２０４は、リクエスト中にセッションＩＤが含まれていない場合に管理ＩＤ並びにセッションＩＤを採番し発行する。一方、リクエスト中にセッションＩＤが含まれている場合はアクセスの度にセッションＩＤを採番し発行する。これにより、Ｗｅｂクライアント１０３ａ〜１０３ｃは、フレームにより構成された画面やＷｅｂサーバ１０２が処理中に別なページへの遷移を行った場合の例外を除いて、各アクセスごとに異なるセッションＩＤを使用することができる。
When the session ID is not included in the request, the
また、セッション管理部２０４は、従来のセッション管理方式が行っていたようにセッションＩＤをもって一連のアクセスを識別するのではなく、セッションＩＤから管理ＩＤを特定し、管理ＩＤを持って一連のアクセスを識別することにより、間接的に一連のアクセスに紐付くセッションＩＤを同時刻において複数個有効にすることが可能となる。
これにより、従来方式のように、新しいセッションＩＤを発行した際に直ちに使用済みのセッションＩＤが無効になるのではなく、任意のタイミングでセッションＩＤを無効にすることが可能となる。
In addition, the
As a result, the used session ID is not invalidated immediately when a new session ID is issued as in the conventional method, but the session ID can be invalidated at an arbitrary timing.
また、使用済みのセッションＩＤを無効化するタイミングを、当該セッションＩＤを使用したアクセス回数や当該セッションＩＤを使用したアクセスからの経過時間、当該セッションＩＤ以降に発行されたセッションＩＤ数などの値を利用して設定することが可能となる。
その結果、使用されたセッションＩＤは無効化されるが、一定期間の間は既に使用されたセッションＩＤであっても有効であるという制御が可能となり、セッションハイジャックによるなりすましの脅威を低減しつつ、正規のユーザによる正常なアクセス時には処理を継続することが可能となる。
ここで、セッション管理部２０４には、セッションＩＤと管理ＩＤとを管理するセッションテーブル３０１が設けられ、セッション管理部２０４は、一連のアクセスによってその都度採番されたセッションＩＤと管理ＩＤとを紐付けすることができる。
In addition, the timing for invalidating the used session ID is set to a value such as the number of accesses using the session ID, the elapsed time from the access using the session ID, and the number of session IDs issued after the session ID. It can be set by using.
As a result, the used session ID is invalidated, but it is possible to control that even a session ID already used for a certain period is valid, and while reducing the threat of impersonation due to session hijacking The processing can be continued at the time of normal access by a regular user.
Here, the
図３は、本発明の一実施形態に係るセッションテーブルを従来例と比較して示す図である。
図３（ｂ）において、従来のセッションテーブル３０２では、セッションＩＤが個別に管理される。これに対し、本実施形態のセッションテーブル３０１では、図３（ａ）に示すように、一連のアクセスによってその都度採番された複数のセッションＩＤは、同一の管理ＩＤにて一括して管理される。なお、ここでは便宜上一つの管理ＩＤに複数のセッションＩＤとして模式化して示しているが、相関関係が保たれておればよく、テーブルの構成を限定するものでは無い。
図４は、本発明の一実施形態に係るリソースマッピングを従来例と比較して示す図である。
図４（ｂ）において、従来のリソースマッピング４０２では、Ｗｅｂサーバ１０２のリソースはセッションＩＤごとに紐付けられる。これに対し、本実施形態のセッションテーブル４０１では、図４（ａ）に示すように、Ｗｅｂサーバ１０２のリソースは管理ＩＤごとに紐付けられる。
FIG. 3 is a diagram showing a session table according to an embodiment of the present invention in comparison with a conventional example.
In FIG. 3B, in the conventional session table 302, session IDs are managed individually. On the other hand, in the session table 301 of the present embodiment, as shown in FIG. 3A, a plurality of session IDs that are assigned each time by a series of accesses are collectively managed with the same management ID. The Here, for convenience, a single management ID is schematically shown as a plurality of session IDs, but it is only necessary to maintain a correlation, and the configuration of the table is not limited.
FIG. 4 is a diagram showing resource mapping according to an embodiment of the present invention in comparison with a conventional example.
In FIG. 4B, in the
図５および図６は、本発明の一実施形態に係るセッション管理処理の流れを示すシーケンス図である。
図５において、Ｗｅｂクライアント１０３ａ〜１０３ｃ（以降の説明において、Ｗｅｂクライアント１０３と記す）からＷｅｂサーバ１０２にアクセスされ（ステップＳ１０１）、そのアクセスにセッションＩＤが含まれていないものとすると、Ｗｅｂサーバ１０２は、管理ＩＤ−Ａを採番し（ステップＳ１０２）、セッションテーブル３０１に新規登録する（ステップＳ１０３）。そして、管理ＩＤ−Ａの登録後、セッションＩＤ−Ａ１を採番し（ステップＳ１０４）、セッションテーブル３０１に新規登録するとともに（ステップＳ１０５）、ＨＴＴＰレスポンスをＷｅｂクライアント１０３に返し、セッションＩＤ−Ａ１をＷｅｂクライアント１０３に受け渡す（ステップＳ１０６）。なお、ここでは図示していないが、管理ＩＤを採番する度にセッションテーブル３０１にアクセスし、採番すべきＩＤを決めてもよいし、Ｗｅｂアプリケーション２０３内に管理ＩＤの採番用内部変数を保持し、これに基づき採番しても構わない。また、説明の関係上、ステップＳ６００ａでは、管理ＩＤ−Ａの登録とセッションＩＤ−Ａ１と分けているが、同時に行っても構わない。
5 and 6 are sequence diagrams showing the flow of session management processing according to an embodiment of the present invention.
In FIG. 5, it is assumed that the
ここで、Ｗｅｂクライアント１０３上の表示画面がフレーム１、２によって複数の画面から構成される場合、フレーム１、２にアクセスするための複数のリクエストがＷｅｂクライアント１０３から行われ、セッションＩＤ−Ａ１がＷｅｂサーバ１０２に受け渡される（ステップＳ２０１、Ｓ２５１）。なお、セッションＩＤ−Ａ１は、Ｗｅｂブラウザ２０１の備える機能であるＣｏｏｋｉｅの仕組みか、またはＵＲＬの一部、またはＰＯＳＴパラメータなどとして送信することができる。この時、不正クライアント５０１は、ネットワーク１０１の盗聴などにより、セッションＩＤ−Ａ１を入手することができる。
Here, when the display screen on the
そして、Ｗｅｂサーバ１０２は、Ｗｅｂクライアント１０３からフレーム１にアクセスするためのリクエストを受信すると、セッションテーブル３０１を参照し、セッションＩＤ−Ａ１が登録されていることを確認する（ステップＳ２０２）。そして、セッションＩＤ−Ａ１の確認がとれると、Ｗｅｂサーバ１０２は、セッションＩＤ−Ａ２を採番し（ステップＳ２０３）、セッションＩＤ−Ａ１をセッションテーブル３０１から削除することなく、セッションＩＤ−Ａ２をセッションテーブル３０１に登録する（ステップＳ２０４）。そして、Ｗｅｂサーバ１０２は、フレーム１に対応したＨＴＴＰレスポンスをＷｅｂクライアント１０３に返し、セッションＩＤ−Ａ２をＷｅｂクライアント１０３に受け渡す（ステップＳ２０５）。
Then, when receiving a request for accessing
また、Ｗｅｂサーバ１０２は、Ｗｅｂクライアント１０３からフレーム２にアクセスするためのリクエストを受信すると、セッションテーブル３０１を参照し、セッションＩＤ−Ａ１が登録されていることを確認する（ステップＳ２５２）。ここで、セッションテーブル３０１上ではセッションＩＤ−Ａ１は削除されることなく保持されているため、セッションＩＤ−Ａ１の確認をとることができる。そして、セッションＩＤ−Ａ１の確認が取れると、そのセッションＩＤ−Ａ１が一定条件を満たしているかどうかを判断する。ここで、セッションＩＤ−Ａ１に要求される一定条件としては、この例ではフレームアクセスが２回であることから、セッションＩＤ−Ａ１の使用回数を２回以下に制限することができる。そして、セッションＩＤ−Ａ１は、ステップＳ２０１のアクセスで１回だけ使用され、今回のステップＳ２５１のアクセスで２回目なので、セッションＩＤ−Ａ１に要求される一定条件を満たしていると判断することができる。このため、Ｗｅｂサーバ１０２は、フレーム２に対応したＨＴＴＰレスポンスをＷｅｂクライアント１０３に返し、セッションＩＤ−Ａ２をＷｅｂクライアント１０３に受け渡す（ステップＳ２５３）。
Further, when receiving a request for accessing
次に、Ｗｅｂクライアント１０３からＷｅｂサーバ１０２にアクセスされ（ステップＳ３０１）、そのアクセスにセッションＩＤ−Ａ２が含まれているものとすると、Ｗｅｂサーバ１０２は、セッションテーブル３０１を参照し、セッションＩＤ−Ａ２が登録されていることを確認する（ステップＳ３０２）。そして、セッションＩＤ−Ａ２の確認がとれると、Ｗｅｂサーバ１０２は、セッションＩＤ−Ａ３を採番し（ステップＳ３０３）、セッションＩＤ−Ａ２をセッションテーブル３０１から削除することなく、セッションＩＤ−Ａ３をセッションテーブル３０１に登録する（ステップＳ３０４）。そして、Ｗｅｂサーバ１０２は、ステップＳ３０１のアクセスに対するＨＴＴＰレスポンスをＷｅｂクライアント１０３に返し、セッションＩＤ−Ａ３をＷｅｂクライアント１０３に受け渡す（ステップＳ３０５）。
Next, assuming that the
また、Ｗｅｂサーバ１０２は、不正クライアント５０１によるセッションＩＤ−Ａ１を使用した不正アクセスを受信すると（ステップＳ１５）、セッションテーブル３０１を参照し、セッションＩＤ−Ａ１が登録されていることを確認し、そのセッションＩＤ−Ａ１が一定条件を満たしているかどうかを判断する（ステップＳ１６）。ここで、セッションＩＤ−Ａ１に要求される一定条件として、セッションＩＤ−Ａ１の使用回数が２回以下に制限されているものとすると、セッションＩＤ−Ａ１は、ステップＳ２０１のアクセスで１回目の使用がされ、ステップＳ２５１のアクセスで２回目の使用がされているので、今回のステップＳ１５のアクセスでは３回目の使用と判断される。このため、Ｗｅｂサーバ１０２は、今回のステップＳ１５のアクセスでは、セッションＩＤ−Ａ１に要求される一定条件を満たしていないと判断し、セッションＩＤ−Ａ１をセッションテーブル３０１から削除する（ステップＳ１７）。そして、Ｗｅｂサーバ１０２は、ステップＳ１５のアクセスに対応したＨＴＴＰレスポンスとしてエラーを不正クライアント５０１に返す（ステップＳ１８）。
Further, when the
これにより、Ｗｅｂクライアント１０３からのアクセスの度にセッションＩＤ−Ａ１、ＩＤ−Ａ２、ＩＤ−Ａ３を順次採番し、互いに異なる複数のセッションＩＤ−Ａ１、ＩＤ−Ａ２、ＩＤ−Ａ３が同時刻に有効になるのを許容しつつ、所定の条件の下でセッションＩＤ−Ａ１、ＩＤ−Ａ２、ＩＤ−Ａ３を無効化することが可能となるとともに、セッションＩＤ−Ａ１、ＩＤ−Ａ２、ＩＤ−Ａ３に管理ＩＤ−Ａを付与することで、Ｗｅｂクライアント１０３からのアクセスの度にセッションＩＤ−Ａ１、ＩＤ−Ａ２、ＩＤ−Ａ３を順次採番した場合においても、Ｗｅｂクライアント１０３からの一連のアクセスを管理することができる。
As a result, the session ID-A1, ID-A2, and ID-A3 are sequentially assigned every time the
このため、正規のユーザによる正常なアクセスの妨害となるのを防止しつつ、不正クライアント５０１によるセッションハイジャックの危険性を低減することが可能となるとともに、リクエストとレスポンスのやり取りを複数回にわたって管理することができ、オンラインショッピングに代表されるＷｅｂアプリケーション２０３におけるユーザの識別処理や、ユーザによる入力データの記憶処理などを一括して管理することができる。
As a result, it is possible to reduce the risk of session hijacking by the
図７は、本発明の一実施形態に係るセッション管理処理の動作を示すフローチャートである。なお、このセッション管理処理は、図５および図６のステップＳ６００ａ〜６００ｅの処理で実行することができる。
図７において、Ｗｅｂサーバ１０２は、Ｗｅｂクライアント１０３からのアクセスを受信すると、そのアクセスにセッションＩＤが付与されているかどうかを判断する（ステップＳ８０１）。
そして、Ｗｅｂクライアント１０３からのアクセスにセッションＩＤが付与されていない場合、Ｗｅｂサーバ１０２は、管理ＩＤを採番し（ステップＳ８０２）、セッションテーブル３０１に登録する（ステップＳ８０３）。そして、Ｗｅｂサーバ１０２は、管理ＩＤを採番すると、セッションＩＤを採番し（ステップＳ８０４）、管理ＩＤに紐付けながらセッションＩＤをセッションテーブル３０１に登録する（ステップＳ８０５）。
FIG. 7 is a flowchart showing the operation of session management processing according to an embodiment of the present invention. This session management process can be executed by the processes in steps S600a to 600e of FIGS.
In FIG. 7, when receiving an access from the
If the session ID is not given to access from the
そして、Ｗｅｂサーバ１０２は、セッションＩＤをセッションテーブル３０１に登録すると、管理ＩＤと有効なセッションＩＤをＷｅｂアプリケーション２０３に渡す（ステップＳ８０６）。
一方、ステップＳ８０１において、Ｗｅｂクライアント１０３からのアクセスにセッションＩＤが付与されている場合、そのセッションＩＤはセッションテーブル３０１に登録されているかどうかを判断する（ステップＳ８２１）。そして、そのセッションＩＤがセッションテーブル３０１に登録されていない場合、Ｗｅｂクライアント１０３にエラーを返す（ステップＳ８２２）。
After registering the session ID in the session table 301, the
On the other hand, if a session ID is given to access from the
一方、ステップＳ８２１において、そのセッションＩＤがセッションテーブル３０１に登録されている場合、そのセッションＩＤは既に使用されているかどうかを判断する（ステップＳ８４１）。そして、そのセッションＩＤが過去に使用されていない場合、ステップＳ８０４以降の処理を行う。
一方、ステップＳ８４１において、そのセッションＩＤが過去に使用されている場合、そのセッションＩＤは有効な条件を満たすかどうかを判断する（ステップＳ８４２）。そして、そのセッションＩＤは有効な条件を満たさない場合、そのセッションＩＤをセッションテーブル３０１から削除してから（ステップＳ８６１）、ステップＳ８２２以降の処理を行う。
On the other hand, if the session ID is registered in the session table 301 in step S821, it is determined whether the session ID has already been used (step S841). If the session ID has not been used in the past, the processing from step S804 is performed.
On the other hand, if the session ID has been used in the past in step S841, it is determined whether the session ID satisfies a valid condition (step S842). If the session ID does not satisfy the valid condition, the session ID is deleted from the session table 301 (step S861), and then the processing after step S822 is performed.
一方、ステップＳ８４２において、そのセッションＩＤは有効な条件を満たす場合、最新のセッションＩＤを使用し（ステップＳ８４３）、ステップＳ８０６以降の処理を行う。ここで最新のセッションＩＤとは、対象としているセッションＩＤと同一の管理ＩＤが付与されているセッションＩＤにおいて、時系列的に最後にセッションテーブルに採番・登録されたセッションＩＤを指す。
なお、セッションＩＤに有効な条件としては、図５の例では、フレームアクセスが２個であることから、同一のセッションＩＤの使用回数を２回と指定することができ、同一のセッションＩＤが既に２回使用されている場合には、そのセッションＩＤは無効であると判断できる。
On the other hand, if the session ID satisfies a valid condition in step S842, the latest session ID is used (step S843), and the processing from step S806 is performed. Here, the latest session ID refers to the session ID last assigned and registered in the session table in time series in the session ID assigned with the same management ID as the target session ID.
As an effective condition for the session ID, in the example of FIG. 5, since there are two frame accesses, the same session ID can be used twice, and the same session ID is already set. If it is used twice, it can be determined that the session ID is invalid.
また、セッションＩＤに有効な条件として、使用されたセッションの有効時間を、盗聴から不正アクセスを試行するに至るまでに困難な時間内に設定することができ、例えば、数秒から数分という非常に短い有効時間に設定することができ、
また、セッションＩＤを受け渡す際に最も良く利用されるＣｏｏｋｉｅの仕組みでは、最後に受け取ったセッションＩＤが使用される。このため、セッションＩＤに２世代以上古いものが使用されることは考えにくく、２世代以上古いものは不正なアクセスであると判断し、そのセッションＩＤを無効にするようにしてもよい。
In addition, as an effective condition for the session ID, the valid time of the used session can be set within a difficult time from eavesdropping to an unauthorized access attempt. Can be set to a short effective time,
In the Cookie mechanism that is most often used when delivering a session ID, the last received session ID is used. For this reason, it is unlikely that a session ID older than two generations will be used, and a session ID older than two generations may be determined to be unauthorized access, and the session ID may be invalidated.
１０１ ネットワーク
１０２ Ｗｅｂサーバ
１０３ａ〜１０３ｃ Ｗｅｂクライアント
２０１ Ｗｅｂブラウザ
２０２ Ｗｅｂサーバソフト
２０３ Ｗｅｂアプリケーション
２０４ セッション管理部
３０１ セッションテーブル
４０１ リソースマッピング
５０１ 不正クライアント
DESCRIPTION OF
Claims (5)
前記Ｗｅｂクライアントからの一連のアクセスを前記Ｗｅｂサーバ側で管理する管理ＩＤを前記セッションＩＤに付与し、前記管理ＩＤを付与された前記セッションＩＤの情報に基づき、前記Ｗｅｂクライアントから受け渡されるセッションＩＤの有効・無効を確認するセッションＩＤ管理手段とを備えることを特徴とするセッション管理装置。 Session ID numbering means for numbering a session ID passed between the web client and the web server each time the web client accesses the session ID;
A session ID passed from the Web client based on the session ID information to which the management ID for managing a series of accesses from the Web client on the Web server side is assigned to the session ID. A session ID managing means for confirming validity / invalidity of the session management apparatus.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007314809A JP2009140163A (en) | 2007-12-05 | 2007-12-05 | Session management device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007314809A JP2009140163A (en) | 2007-12-05 | 2007-12-05 | Session management device |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2009140163A true JP2009140163A (en) | 2009-06-25 |
Family
ID=40870720
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2007314809A Pending JP2009140163A (en) | 2007-12-05 | 2007-12-05 | Session management device |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2009140163A (en) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2011076499A (en) * | 2009-09-30 | 2011-04-14 | Yahoo Japan Corp | Session management device, server, and system |
| JP2012068834A (en) * | 2010-09-22 | 2012-04-05 | Canon Inc | Information processing apparatus, control method of information processing apparatus, and program |
| JP2015052883A (en) * | 2013-09-06 | 2015-03-19 | Ｎｅｃエンジニアリング株式会社 | Session management system and method |
| JP2017049881A (en) * | 2015-09-03 | 2017-03-09 | ビッグローブ株式会社 | Server device, control method of server device, and program |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08249253A (en) * | 1995-03-13 | 1996-09-27 | Fujitsu Ltd | Communication system, access responder and access requesting device |
| JP2004213067A (en) * | 2002-12-26 | 2004-07-29 | Ricoh Co Ltd | Service providing device, image forming device, service providing method and unauthorized use prevention method |
| JP2006031064A (en) * | 2004-07-12 | 2006-02-02 | Hitachi Ltd | Session management system and management method |
| JP2006244428A (en) * | 2005-03-07 | 2006-09-14 | Canon Inc | Session management method and session management system |
| JP2007166590A (en) * | 2006-10-02 | 2007-06-28 | Hitachi Communication Technologies Ltd | Packet transfer device |
-
2007
- 2007-12-05 JP JP2007314809A patent/JP2009140163A/en active Pending
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08249253A (en) * | 1995-03-13 | 1996-09-27 | Fujitsu Ltd | Communication system, access responder and access requesting device |
| JP2004213067A (en) * | 2002-12-26 | 2004-07-29 | Ricoh Co Ltd | Service providing device, image forming device, service providing method and unauthorized use prevention method |
| JP2006031064A (en) * | 2004-07-12 | 2006-02-02 | Hitachi Ltd | Session management system and management method |
| JP2006244428A (en) * | 2005-03-07 | 2006-09-14 | Canon Inc | Session management method and session management system |
| JP2007166590A (en) * | 2006-10-02 | 2007-06-28 | Hitachi Communication Technologies Ltd | Packet transfer device |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2011076499A (en) * | 2009-09-30 | 2011-04-14 | Yahoo Japan Corp | Session management device, server, and system |
| JP2012068834A (en) * | 2010-09-22 | 2012-04-05 | Canon Inc | Information processing apparatus, control method of information processing apparatus, and program |
| CN102413262A (en) * | 2010-09-22 | 2012-04-11 | 佳能株式会社 | Information processing apparatus and control method of the same |
| CN102413262B (en) * | 2010-09-22 | 2015-07-29 | 佳能株式会社 | The control method of information processor and information processor |
| US9398099B2 (en) | 2010-09-22 | 2016-07-19 | Canon Kabushiki Kaisha | Information processing apparatus for executing processing in response to request from external device, control method of information processing apparatus, and storage medium |
| JP2015052883A (en) * | 2013-09-06 | 2015-03-19 | Ｎｅｃエンジニアリング株式会社 | Session management system and method |
| JP2017049881A (en) * | 2015-09-03 | 2017-03-09 | ビッグローブ株式会社 | Server device, control method of server device, and program |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11297051B2 (en) | Authenticated session management across multiple electronic devices using a virtual session manager | |
| US10541992B2 (en) | Two-token based authenticated session management | |
| KR102117584B1 (en) | Local device authentication | |
| JP6556706B2 (en) | Systems and methods for encryption key management, collaboration, and distribution | |
| CN105659557B (en) | The method and system of network-based Interface integration for single-sign-on | |
| US7836298B2 (en) | Secure identity management | |
| US20140230020A1 (en) | Authorization server and client apparatus, server cooperative system, and token management method | |
| JP2020036234A (en) | Information processing apparatus, authorization system, and verification method | |
| TW201635181A (en) | On demand passwords | |
| JP2005516533A (en) | Single sign-on on the Internet using public key cryptography | |
| JP2007310512A (en) | Communication system, service providing server, and user authentication server | |
| JP2013137588A (en) | Integrated authentication system and id provider device | |
| CN107251528A (en) | It is used as the network identity of service | |
| CN107211030B (en) | Use the method for intelligent image anti-phishing, system, mobile device and medium | |
| JP2011215753A (en) | Authentication system and authentication method | |
| JP2017199145A (en) | Server unit, system, information processing method and program | |
| JP2009140163A (en) | Session management device | |
| JP2009099131A (en) | Access authorization system, access control server, and business process execution system | |
| JP6719875B2 (en) | Authentication server, authentication method and program | |
| JP4989935B2 (en) | Session management method, server used therefor, session management program, and recording medium recording the program | |
| JP5690030B1 (en) | Information processing apparatus, information processing method, program, and recording medium | |
| JP2003244123A (en) | Common key management system, server, and method and program | |
| JP2016085638A (en) | Server device, terminal device, system, information processing method, and program | |
| JP2022047948A (en) | Authorization server and control method of authorization server | |
| KR20230020519A (en) | Security Token Expiration Using Signing Key Rotation |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A625 | Written request for application examination (by other person) |
Free format text: JAPANESE INTERMEDIATE CODE: A625 Effective date: 20100812 |
|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A712 Effective date: 20110422 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20120718 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20120821 |
|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20120823 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20121211 |