Upgrade to Pro — share decks privately, control downloads, hide ads and more …

Sessionの衝突から学んだPHPのSession作成方法 @CakeJP 2023/12/...

Avatar for Hayato Nakamura Hayato Nakamura
December 21, 2023
0
350

Sessionの衝突から学んだPHPのSession作成方法 @CakeJP 2023/12/13 エンジニア小話会 PHPを語り合おう

PHPのSession生成はどのようなアルゴリズムを使っている/使っていたかを調査しました。
Avatar for Hayato Nakamura

Hayato Nakamura

December 21, 2023
Tweet

More Decks by Hayato Nakamura

See All by Hayato Nakamura
定時実行の設定が難しいから、 仕組みで解決をしている話
Avatar for Hayato Nakamura chikin14niwa
0
110
呼び出し順で、 売上金額を回収できなくした話
Avatar for Hayato Nakamura chikin14niwa
0
68
N+1はダメなのか？ システムを落としたあの日より
Avatar for Hayato Nakamura chikin14niwa
0
26
重要だけど、 よく忘れる仕様との付き合い方
Avatar for Hayato Nakamura chikin14niwa
0
85

Featured

See All Featured
Navigating Team Friction
Avatar for Lara Hogan lara
187
15k
Faster Mobile Websites
Avatar for Dean Hume deanohume
307
31k
What’s in a name? Adding method to the madness
Avatar for Product Marketing Alliance productmarketing
PRO
23
3.5k
The Straight Up "How To Draw Better" Workshop
Avatar for Dennis Kardys denniskardys
235
140k
The Cost Of JavaScript in 2023
Avatar for Addy Osmani addyosmani
51
8.5k
Building a Modern Day 
E-commerce SEO Strategy
Avatar for Aleyda Solis aleyda
42
7.4k
個人開発の失敗を避けるイケてる考え方 / tips for indie hackers
Avatar for panda_program panda_program
107
19k
Six Lessons from altMBA
Avatar for Skipper Chong Warson skipperchong
28
3.9k
The World Runs on Bad Software
Avatar for Brandon Keepers bkeepers
PRO
69
11k
How to Ace a Technical Interview
Avatar for Jacob Kaplan-Moss jacobian
278
23k
Why Our Code Smells
Avatar for Brandon Keepers bkeepers
PRO
336
57k
How to Think Like a Performance Engineer
Avatar for Harry Roberts csswizardry
25
1.7k

Transcript

  1. © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 2023/12/13
 
 Sessionの衝突から学んだ
 PHPのSession作成方法


    
 中村隼人


  2. 2 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 自己紹介 • 名前

    ◦ 中村　隼人 • 業務 ◦ カート周り(PHP/Kotlin/TypeScript) • おすすめ🍰 ◦ 毎月タイムセールやってるから買ってね ! ◦ 今これ食べてます!

  3. 3 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 話す • PHPのSessionIDの作成方法

    話さない • 暗号アルゴリズム • Sessionを使ったプログラムの書き方 • C言語の読み方 今日話すこと/話さないこと

  4. 4 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 数秒間で複数回のエラーが発生。 CSからお客様の注文が完了しないという問い合わせが入る。 ある日のこと

  5. 5 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential ・ユーザとDBデータの紐づけにSessionIDを使っていた。 ・過去(5年前)に生成したSessionIDと現在のSessionIDに衝突が発生した。 ・サービスのコア部分、かつPHP本体への対応が必要だったため、対策方法が難しい。

    原因

  6. 6 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 32種類の文字列が26桁 → 1.361129468E+39

    → 約136澗(かん) 再現率を調べてみた

  7. 7 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について

  8. 8 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について

  9. 9 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について

  10. 10 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について 弊社はPHP5.6を使用していた

  11. 11 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法

  12. 12 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法 Unixタイムスタンプの取得 接続元IPアドレス

    + 時刻 + 乱数 (基本的には数値のみが入る)

  13. 13 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法

  14. 14 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法 128bitのバイナリを文字列化(0-9a-v)

  15. 15 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential OSに用意されている暗号学的にセキュアでランダムな文字列の生成を行っている。 一方のPHP7.1以降では

  16. 16 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential ある日解決は突然に

  17. 17 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential • 得られた知見 ◦

    最新版への追従は大事! まとめ

  18. 18 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential https://github.com/php/php-src/blob/4b8f72da5dfb201af4e82dee960261d8657e414f/ext/sessi on/session.c#L287-L434 https://www.php.net/manual/ja/function.session-create-id.php

    http://dsas.blog.klab.org/archives/52136166.html 参考資料