Upgrade to Pro — share decks privately, control downloads, hide ads and more …

Sessionの衝突から学んだPHPのSession作成方法 @CakeJP 2023/12/...

Avatar for Hayato Nakamura Hayato Nakamura
December 21, 2023
0
340

Sessionの衝突から学んだPHPのSession作成方法 @CakeJP 2023/12/13 エンジニア小話会 PHPを語り合おう

PHPのSession生成はどのようなアルゴリズムを使っている/使っていたかを調査しました。
Avatar for Hayato Nakamura

Hayato Nakamura

December 21, 2023
Tweet

More Decks by Hayato Nakamura

See All by Hayato Nakamura
定時実行の設定が難しいから、 仕組みで解決をしている話
Avatar for Hayato Nakamura chikin14niwa
0
110
呼び出し順で、 売上金額を回収できなくした話
Avatar for Hayato Nakamura chikin14niwa
0
67
N+1はダメなのか？ システムを落としたあの日より
Avatar for Hayato Nakamura chikin14niwa
0
25
重要だけど、 よく忘れる仕様との付き合い方
Avatar for Hayato Nakamura chikin14niwa
0
85

Featured

See All Featured
StorybookのUI Testing Handbookを読んだ
Avatar for Shingo Yamazaki zakiyama
30
5.8k
Creating an realtime collaboration tool: Agile Flush - .NET Oxford
Avatar for Marc Duiker marcduiker
30
2.1k
Documentation Writing (for coders)
Avatar for Carmen Chung carmenintech
72
4.9k
Build your cross-platform service in a week with App Engine
Avatar for Jose L jlugia
231
18k
ピンチをチャンスに：未来をつくるプロダクトロードマップ #pmconf2020
Avatar for Aki / @LoveIdahoBurger aki_iinuma
124
52k
Designing Dashboards & Data Visualisations in Web Apps
Avatar for Des Traynor destraynor
231
53k
Put a Button on it: Removing Barriers to Going Fast.
Avatar for kastner kastner
60
3.9k
The Web Performance Landscape in 2024 [PerfNow 2024]
Avatar for Tammy Everts tammyeverts
8
670
Automating Front-end Workflow
Avatar for Addy Osmani addyosmani
1370
200k
Practical Orchestrator
Avatar for Shlomi Noach shlominoach
188
11k
Making Projects Easy
Avatar for Brett Harned brettharned
116
6.3k
Gamification - CAS2011
Avatar for David Bonilla davidbonilla
81
5.3k

Transcript

  1. © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 2023/12/13
 
 Sessionの衝突から学んだ
 PHPのSession作成方法


    
 中村隼人


  2. 2 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 自己紹介 • 名前

    ◦ 中村　隼人 • 業務 ◦ カート周り(PHP/Kotlin/TypeScript) • おすすめ🍰 ◦ 毎月タイムセールやってるから買ってね ! ◦ 今これ食べてます!

  3. 3 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 話す • PHPのSessionIDの作成方法

    話さない • 暗号アルゴリズム • Sessionを使ったプログラムの書き方 • C言語の読み方 今日話すこと/話さないこと

  4. 4 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 数秒間で複数回のエラーが発生。 CSからお客様の注文が完了しないという問い合わせが入る。 ある日のこと

  5. 5 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential ・ユーザとDBデータの紐づけにSessionIDを使っていた。 ・過去(5年前)に生成したSessionIDと現在のSessionIDに衝突が発生した。 ・サービスのコア部分、かつPHP本体への対応が必要だったため、対策方法が難しい。

    原因

  6. 6 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential 32種類の文字列が26桁 → 1.361129468E+39

    → 約136澗(かん) 再現率を調べてみた

  7. 7 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について

  8. 8 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について

  9. 9 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について

  10. 10 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHPのセッション作成について 弊社はPHP5.6を使用していた

  11. 11 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法

  12. 12 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法 Unixタイムスタンプの取得 接続元IPアドレス

    + 時刻 + 乱数 (基本的には数値のみが入る)

  13. 13 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法

  14. 14 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential PHP5.6でのSession作成方法 128bitのバイナリを文字列化(0-9a-v)

  15. 15 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential OSに用意されている暗号学的にセキュアでランダムな文字列の生成を行っている。 一方のPHP7.1以降では

  16. 16 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential ある日解決は突然に

  17. 17 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential • 得られた知見 ◦

    最新版への追従は大事! まとめ

  18. 18 © Cake.jp Co.Ltd. All Right Reserved.｜Confidential https://github.com/php/php-src/blob/4b8f72da5dfb201af4e82dee960261d8657e414f/ext/sessi on/session.c#L287-L434 https://www.php.net/manual/ja/function.session-create-id.php

    http://dsas.blog.klab.org/archives/52136166.html 参考資料