PowerPoint プレゼンテーション

Size: px

Start display at page:

Download "PowerPoint プレゼンテーション"

かずしすずがみね
5 years ago
Views:

1 ネットワークプログラミング演習第 14 回 Cookie

2 前回の出席確認なぜ Web サーバ上ではチャットを作りにくいのか? 他者の発言を Web サーバに取りに行かねばならない頻繁に更新すれば可能だがそうするとサーバに負荷がかかる Web サーバには負荷をかけてはいけなくてチャットのサーバには負荷をかけてよいのか?/ チャットのサーバには負荷がかからないのか? かからないなぜか?Web サーバとチャットサーバの違いは何か Web サーバは情報を渡すと切断する他者が発言していなくても更新を要求する必要があるチャットサーバは ( 会話が続く限り ) 接続したままそもそも負荷って何? これが本質的な解答他者が発言したことをサーバからクライアントに通知できる

3 前回の出席確認 push 型情報と pull 型情報 Web ページの閲覧は pull Web サーバは pull されることしか考えていない構成になっているチャットの場合他者の発言は push で受け取るべき双方向の通信が必要リアルタイム性チャットはリアルタイムだから負荷が大きいという回答では説明不足なぜ (Web サーバ上で実現しようとすると ) 負荷が大きいのかその負荷はチャットサーバなら許容されるのかといった議論をしないと説得力がない

4 余談 : 負荷負荷には必要な負荷と不要な負荷がある例 ) ネットショッピングのサイトが人気商品の発売当日に注文が殺到して高負荷になる必要な負荷例 ) 新しい情報が無いにもかかわらず更新要求が頻繁にやってきて高負荷になる不要な負荷に思える

5 今日のお題 Cookie

6 Cookie とは Web サーバからクライアント ( ブラウザ ) に情報を保存しておくように要求するこの情報を Cookie というブラウザは Cookie を保存しないことを選択できるブラウザは Web サーバに閲覧要求を出すときに過去に受け取った Cookie を ( あれば ) 送るブラウザ保存を要求 Web サーバ閲覧時に Cookie があれば URL と一緒に送る

7 Cookie に設定する値名前値有効期限ブラウザは有効期限を過ぎた情報を送らないと考えてよいブラウザを閉じるまでを指定することも可能 domain 設定するとブラウザはそのドメインのサブドメインにも情報を送る省略すると Cookie を送ったサーバだけが対象となる path 設定するとブラウザはそのパスの子孫パスにあるページにも情報を送る省略すると Cookie を送ったページと同じパスにあるページだけが対象となる

8 PHP における Cookie の扱い Cookie の受け取りブラウザからの要求に Cookie が設定されていれば連想配列 $_COOKIE に格納される Cookie の設定 setcookie を呼び出して設定するただし他に何かを表示する前に設定しなければならない

9 プログラム例 : おみくじ ( 再掲 ) ソースコード : <HTML> <HEAD><TITLE>Fortune</TITLE></HEAD> <BODY> <?PHP $i = rand(1,4); if ($i == 1) { echo ' 大吉 ' ; } else if ($i == 2) { echo ' 中吉 ' ; } else if ($i == 3) { echo ' 吉 ' ; } else { echo ' 凶 ' ; }?> </BODY> 1 から 4 までの整数をランダムに生成して変数 $i に代入 $i の値によって表示する内容を変えるこのサンプルはそのうちまた使います </HTML>

10 おみくじの改造問題点 : 再読込すると結果が変わる今日の運勢はにしたいので 24 時間は結果を変えたくないおみくじはユーザごとに違う結果にしたいしかしサーバ側でユーザ管理をするのは面倒 Cookie を使うユーザのブラウザごとに結果を記録できる

11 Cookie を使ったおみくじのソース <?PHP define('cookie_name', 'omikuji2'); if (isset($_cookie) && (array_key_exists(cookie_name,$_cookie))) { $kuji = $_COOKIE[COOKIE_NAME]; } else { $kuji = rand(1,4); setcookie(cookie_name,$kuji,time()+60*60*24); }?> <HTML> <HEAD><TITLE>Fortune</TITLE></HEAD> <BODY> 今日の運勢は... <?PHP if ($kuji == 1) { echo ' 大吉 ' ; } else if ($kuji == 2) { echo ' 中吉 ' ; } else if ($kuji == 3) { echo ' 吉 ' ; } else if ($kuji == 4) { echo ' 凶 ' ; }?> </BODY> </HTML> この部分を次ページで解説後半は改造前とほぼ同じ

12 Cookie おみくじの解説 <?PHP define('cookie_name', 'omikuji2'); if (isset($_cookie) && (array_key_exists(cookie_name,$_cookie))) { $kuji = $_COOKIE[COOKIE_NAME]; } else { }?> $kuji = rand(1,4); 何度か使うので定数に定義おみくじの番号を設定 Cookie が設定されていたら Cookie からおみくじの番号を読む setcookie(cookie_name,$kuji,time()+60*60*24); おみくじの番号を Cookie に設定する有効期限は 24 時間後

13 24 時間後だとテストしづらいので Cookie の有効期限を 10 秒後にしてテスト : setcookie(cookie_name,$kuji,time()+60*60*24); を setcookie(cookie_name,$kuji,time()+10); に変更再読込しても 10 秒間は結果が変わらないことを確認してください

14 蛇足 :24 時間後ではなく今日中にしたい有効期限は UNIX time で指定する 1970 年 1 月 1 日 0 時 0 分 0 秒からの ( ほぼ ) 経過秒数 GMT で日本の時間 (JST) は 9 時間ずれている 86400(= ) の倍数が 0 時 0 分 0 秒を setcookie(cookie_name,$kuji,time()+60*60*24); $day = 60*60*24; $t = time(); $today = ($t+60*60*9) % $day; setcookie(cookie_name,$kuji,$t-$today+$day); に変更 24 時間の秒数何度か使うので変数に入れておく現在時刻を取得今日になってからの経過秒数明日の 0 時 0 分 0 秒

15 Cookie を確認しようブラウザに保存された Cookie を確認する : Firefox の場合メニューオプションプライバシーとセキュリティ Cookie を個別に削除 Chrome の場合 GoogleChrome の設定設定設定項目を検索に Cookie と入力コンテンツの設定 Cookie すべての Cookie とサイトデータを表示

16 余談 : ユーザの手元のデータの情報を隠す Cookie を見るとおみくじの番号がそのまま見えるこれを隠すには? 暗号化半分正解サーバだけが知っているパスワードで暗号化すると 1 QWlpWWdRa0RlMWxTMjRLSUZNdzF0QT09 2 NUpFQ1l3QUJ5RGRQNlF2R2JEdzlYUT09 3 OFV6UUlqUStWY0FoREtadk1ONGIyQT09 4 R1BvYmVzY3dsbGlLZFEzYllNVzhLdz09 単なる暗号化だとここが毎回同じ

17 余談 : ユーザの手元のデータの情報を隠すランダムな bit 列 ( 固定長 ) を平文につけてそれごと暗号化する復号したらランダム bit 列の部分を無視する簡単に無視できるように固定長にしておくこういうランダム bit 列を salt と呼ぶ同じ情報 ( 例えば大吉を表す 1) に対して暗号文が 2 salt の bit 長種類できる暗号文から平文を推測することが難しくなる

18 暗号化された番号を Cookie に保存するおみくじ <?PHP define('cookie_name', 'omikuji3'); define('crypt', 'AES-256-CBC'); define('key', 'Naisho'); define('iv', '_INITIAL_VECTOR_'); define('saltlen',10); $kuji = null; if (isset($_cookie) && (array_key_exists(cookie_name,$_cookie))) { $txt = openssl_decrypt(base64_decode($_cookie[cookie_name]), CRYPT,KEY,0,IV); if ($txt!= null) { $kuji=(int)substr($txt,saltlen); } } if ($kuji == null) { $kuji = rand(1,4); $txt = openssl_random_pseudo_bytes(saltlen). $kuji; setcookie(cookie_name, base64_encode(openssl_encrypt($txt,crypt,key,0,iv)), time()+60*60*24); }?>

19 情報の隠し方の効果隠していない場合 2 中吉, 4 凶 1 が大吉, 3 が吉と推測できる暗号化未出のおみくじを推測するのは困難一度出たおみくじはそのときの Cookie を記録しておけば Cookie からおみくじを判別できる salt 付きの暗号化 Cookie からおみくじを判別するのは困難一度出たおみくじは同じ Cookie を送ることで出すことができる

20 サーバがユーザを管理する場合の Cookie の利用

21 ユーザとセッションの管理サーバ側でユーザを管理する : ユーザ名とパスワードをサーバの DB に登録サーバはユーザのログイン時にユーザ名とパスワードを突合するログアウトするまでいちいちパスワードを入れずに作業をしたい : Cookie にユーザ名やユーザ ID を設定しておく Cookie がなければユーザにログインさせるログアウト時には Cookie を削除する削除 : 有効期限を過去に設定する

22 ユーザ管理と Cookie Cookie にパスワードを記録しているわけではない Cookie にユーザ名やユーザ ID を ( 暗号化して ) 記録しておき Cookie を持っていればパスワードの入力を省略できるようにしていることが多い Cookie が漏洩するとなりすまされる危険がある Cookie に REMOTE_ADDR や HTTP_USER_AGENT を記録しておいてチェックすればなりすまされにくいシステムになる

23 複数クライアントからの同時アクセスを検知するアクセスのたびに ( 毎回 ) 異なる値を Cookie を設定する Cookie に設定した値を ( ユーザごとに ) サーバ側にも記録しておくサーバに記録されたものとアクセス時の Cookie が異なれば前回アクセスと今回アクセスの間に他のクライアントからアクセスしていると分かる

24 次回予告振り返りと関連する話題

PowerPoint プレゼンテーション

PowerPoint プレゼンテーションネットワークプログラミング演習第 12 回 Web サーバ上で動作するプログラム 2 今日のお題 PHPのプログラム例おみくじアクセスカウンタファイルの扱い lock ファイルの所有者許可と権限 PHP の文法 ( の一部 ) if, for, while の制御の構文は C 言語と似ている型はあるが明示的な宣言はしなくてよい変数には型がない変数の宣言はしなくてよい変数名には