- PR -

サーバ上のCSVファイルについて

投稿者投稿内容
べる
ぬし
会議室デビュー日: 2003/09/20
投稿数: 1093
投稿日時: 2007-12-19 23:20
CSVファイルを外部から見れないフォルダに作成するのはそれでいいと思いますが
Response.WriteFileは、ボタンが押されたときかなんかに実行するんですよね?
だと「外部のPCからもURLを入力すれば閲覧することができてしまいます」が
「外部のPCからもボタン押下時と同じリクエストを投げれば閲覧することができてしまいます」
に変わっただけなんじゃないかと思います。

それとSSLは通信自体の正当性を保障するもので、ここでいう認証とは直接は無関係です。
ゆうじゅん
ぬし
会議室デビュー日: 2004/01/16
投稿数: 347
投稿日時: 2007-12-20 10:55
推測ですが、

1)ASPサービスにログイン(認証)
2)ログインしたユーザが自分の個人情報を表示
3)画面上のボタンをクリックすると、表示されている個人情報がCSVとして
  ダウンロードされる

という仕組みではないでしょうか?

従って、べる氏が懸念している件については、問題ないのではないでしょうか

あと、SSLで通信の暗号化をしないと、通信内容にダウンロードされるCSVの
情報が平文で格納されますので、パケットキャプチャによって、容易の個人
情報を得ることができます。

なので、重要な情報をやりとりする場合は、SSLを使用すべきです。
べる
ぬし
会議室デビュー日: 2003/09/20
投稿数: 1093
投稿日時: 2007-12-20 11:49
引用:
1)ASPサービスにログイン(認証)
2)ログインしたユーザが自分の個人情報を表示
3)画面上のボタンをクリックすると、表示されている個人情報がCSVとして
  ダウンロードされる

という仕組みではないでしょうか?

従って、べる氏が懸念している件については、問題ないのではないでしょうか

私も最初はこんな感じのものを想像していました。1)が実装されていれば問題ないと思いますが
「認証を使わない」とおっしゃっていたのでフォーム認証などの認証もないのではと懸念していました。

ただ、ボタンをクリック時にも認証しないとだめですよね。
自分のCSVを見たときに送信された内容を解析して、ユーザーID(かなんか)を
他人のものにすりかえて送信したら見れちゃう、じゃまずいですよね。

#ASP.NETに組み込まれている認証を正しく使ってるならここら辺は大丈夫でしょうが。

引用:
あと、SSLで通信の暗号化をしないと、通信内容にダウンロードされるCSVの
情報が平文で格納されますので、パケットキャプチャによって、容易の個人
情報を得ることができます。

もちろん、認証時に送信されるユーザーIDとパスワードの組み合わせや、
その他通信に漏れてはならない情報が含まれる箇所はSSL化すべきですね。
つまり「外部」というのが通信途中という意味であればSSLが重要な役割をはたしますね。

私が言いたかったのは、認証を通さないで他人のCSVが見れてしまうような実装
(2007-12-19 12:51のまさおさんの発言のような)をした場合に、
それはSSLをかましたところで防げないですよ、ということです。

#ということで、あぶぽんさんが会話の流れがずれているとおっしゃっていましたが
#私は最初から論点が少しずれている気はしていました。
なちゃ
ぬし
会議室デビュー日: 2003/06/11
投稿数: 872
投稿日時: 2007-12-20 12:00
引用:

べるさんの書き込み (2007-12-20 11:49) より:
もちろん、認証時に送信されるユーザーIDとパスワードの組み合わせや、
その他通信に漏れてはならない情報が含まれる箇所はSSL化すべきですね。


認証を行う場合なら、通常は認証済みの状態を要求する全てのページでSSLが必要です。
かつ認証クッキーをセキュア設定するのも忘れずに。
べる
ぬし
会議室デビュー日: 2003/09/20
投稿数: 1093
投稿日時: 2007-12-20 13:16
引用:
認証を行う場合なら、通常は認証済みの状態を要求する全てのページでSSLが必要です。

クッキーに含まれるセッションIDは「漏れてはならない情報」ですからね。
それにhttpとhttpsをまたいだらセッションが切れてしまいますよね多分。
ただ、確かに「クッキーにある値を毎回送信することによって、毎回認証が行われている」
ことを意識してないとフォームからの送信以外は除外して考えてしまう人もいるかもですね。

引用:
かつ認証クッキーをセキュア設定するのも忘れずに。

web.configで設定する場合requireSSLですね。

もしかして、権限のある複数(または単数)の人間はCSVを見れて、個人情報が
入っているとはいえ「自分のCSV」というものではないのかもしれませんね。
私の2007-12-20 11:49の発言の「他人のものにすりかえて」はあまり関係ないのかも。

スキルアップ/キャリアアップ(JOB@IT)