主にプログラミングに関して。Python, .NET Framework(C#), JavaScript, その他いくらか。
記事にあるサンプルやコードは要検証。使用に際しては責任を負いかねます

スポンサーサイト

                
tags:
上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

Python-Tornado: セキュアなWebアプリケーションをもうちょい考える

                
セキュアなアプリケーションを考える
Python-Tornado: XSRF対策

 SSLにすればおおよそ安心かなーと考えながら、本当にそうなのかと色々あさっていたところ、SSLにしていてもBREACH攻撃の脅威は防げないというのを知った。
SSL暗号を無効化する仕組み – BREACH, CRIME, etc
App Engine セキュリティー情報 - BREACH attack について

 以前にXSRF対策でトークンをワンタイムにする必要はないと出典と共に書いたが、この脅威においてはワンタイムトークンを使うことは対策になり得るようだ。でもそもそもgzip圧縮を使わなければそれでこの脅威への対策になるようなので、gzip圧縮は切っておく。そうすればXSRFトークンはワンタイムでなくて大丈夫だろう。Tornadoではgzip圧縮はデフォルトではかかっていない。下記のように書く必要もとくにないがとりあえずgzipは切っておく。
settings = dict(cookie_secret="foooooooooooooooooooooooooooooo",
static_path=os.path.join(os.path.dirname(__file__), "static"),
template_path=os.path.join(os.path.dirname(__file__), "templates"),
xsrf_cookies=True,
gzip=False,
autoescape="xhtml_escape",
debug=True,
)
application = tornado.web.Application([('/(\d*)', View),
('/article/([\w\-]+)', Article)],
**settings)


 あとはXSRF対策としてXSRFトークンをクッキーに埋め込むけど、これってsecure属性を付けなくていいのかなと。XSRFトークンがわかってしまえばXSRFの準備ができるから、取り扱いには気を払うべきかと考えているんだけど、Tornadoではsecure属性の付加オプションがみつからない。secure属性を付けていない場合はクッキーを盗む手段があるし(参考)、DjangoはXSRFクッキーのsecure属性付加オプションを用意している(参考)。

 XSRFクッキーへのsecure属性付加のために少しばかり書き換えを考えてみる。個人的な書き換えなので実際に使うのは望ましくない。編集するファイルの名前はweb.py。おおよそ1000行目あたりにあるXSRFトークンをクッキーにセットする部分だけをちょっと書き換える。やるのはsecure属性付加だけ。変なことして余計な穴を増やしたらまずいし。
def xsrf_token(self):
"""The XSRF-prevention token for the current user/session.

To prevent cross-site request forgery, we set an '_xsrf' cookie
and include the same '_xsrf' value as an argument with all POST
requests. If the two do not match, we reject the form submission
as a potential forgery.

See http://en.wikipedia.org/wiki/Cross-site_request_forgery
"""
if not hasattr(self, "_xsrf_token"):
token = self.get_cookie("_xsrf")
if not token:
token = binascii.b2a_hex(uuid.uuid4().bytes)
expires_days = 30 if self.current_user else None
#self.set_cookie("_xsrf", token, expires_days=expires_days)
if self.application.settings.get("xsrf_cookie_secure"):
self.set_cookie("_xsrf", token, expires_days=expires_days, secure=True)
else:
self.set_cookie("_xsrf", token, expires_days=expires_days)
self._xsrf_token = token
return self._xsrf_token


 書き換えをしたらセッティング項目でxsrf_cookie_secureを追加。
settings = dict(cookie_secret="foooooooooooooooooooooooooooooo",
static_path=os.path.join(os.path.dirname(__file__), "static"),
template_path=os.path.join(os.path.dirname(__file__), "templates"),
xsrf_cookies=True,
xsrf_cookie_secure=True,
gzip=False,
autoescape="xhtml_escape",
debug=True,
)

14042101.png
 上がデフォルトで、下がxsrf_cookie_secureをTrueにした場合。secure属性が付加できた。



追記
 上のコードをTornadoフォーラムにどうかと投げてみた。そうしたらsecure以外にもHttponlyとかexpireとかあって、それを一つずついちいちオプション追加するのクールじゃないと返信があり、どう対処してるかコードサンプルをくれた。どうやらBaseHandlerクラスを宣言するとき、set_cookieメソッドをオーバライドしてるようだ。確かにこっちの書き方はクール。
  def set_cookie(self, *args, **kwargs):
kwargs.setdefault('secure', True)
super(BaseHandler, self).set_cookie(*args, **kwargs)
            

コメントの投稿

非公開コメント

プロフィール

hMatoba

Author:hMatoba
Github

最新記事
リンク
作ったものなど
月別アーカイブ
カテゴリ
タグリスト

検索フォーム
Amazon
上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。