セッションハイジャックの対策方法について

質問

http://okwave.jp/qa5356018.html
上記の質問の便乗質問です

質問１
上記の質問内＃５で、セッションハイジャック対策として、
セッションIDとUserAegntを組みで管理しハイジャックリスクを軽減する
また、この方法を使用しているサイトも存在するとの記述がありますが、
セッションIDを盗聴出来る（つまりHTTPヘッダを読み取る）のであれば、必然的にUserAgentも盗聴されるので、この方法でハイジャックリスクを低減することは出来ないと思うのですが、いかがでしょうか？
そもそも、私のDoCoMoの携帯はUserAgentを送らないし・・・

質問２
同じく＃５で
「IPアドレスチェックはセッションハイジャック対策にならない」
とありますが、たしかに携帯等からアクセスするとIPが著しく変化する可能性がありますが、無限に変化するわけではありません
しょせん、携帯会社が保有するIPの範囲内です
たとえばDoCoMoであれば、IPのホストアドレスの数はたかただか４，５種類です
よって、「IPアドレスのホストアドレスをチェックすることで送信元を限定」し、ハイジャックチェックをすることは可能だと思うのですがいかがでしょう？
もちろん、DoCoMoネットワーク内部のハイジャッカーには対応できませんが、簡単に偽装可能なUserAgent（たとえば、FirefoxはUserAgentを変更する項目がある）でチェックするよりはるかに有効だと思います

携帯以外で企業内部からProxy経由で接続してきた場合、これもIPアドレスが変化する可能性があるようですが、企業も無限にIPを保有しているわけではなく、特定のホストアドレス内の範囲のはずです
よって、同一セッションIDの接続でIPが変化した場合、ホストアドレス上位２４bitまたは16bitが変化したかで不正接続かどうかを判断できると思います
もちろん、同一企業内にハイジャッカーが居たら上記の方法では判別できませんが、企業内のセキュリティ不備までホームページ提供者（セッションIDを提供する側）が考慮してあげる必要は無いと思っています

また、IPアドレスの変化量に応じてセッションIDのライフタイムを減らし、リスクを低減するような機能もついでに追加しても有効ではないでしょうか？
つまり、IPが変化するネットワークからのアクセスは、リスク軽減のためセッションIDのライフタイムをデフォルト30分を15分に減らすなど。

また、IPアドレスに変化がない場合は、当然上記のチェックはする必要はなく、クライアントを信用します

このような方法でセッションハイジャック対応（もちろん１００％ではないが、かなり有効だと思う）出来そうですが、
いかがでしょうか？
また、このような方法でチェックしているサイトはありますでしょうか？

回答No.4

wildcat-yp

＃１です。
私はIPアドレスも偽装可能と書いたつもりなのですが・・・
携帯専用ページ等でキャリアからの接続しかできない仕様であればほぼ不可能ですが、一般的にインターネットを通ってきた物であればIPアドレスもそれほど信用できるものではありません。とくに海外経由の通信の場合は。

なので、SSLが全ページへの適用が不可能という場合、SSL以外のコンテンツについては漏えいは覚悟するべきです。

確かにセッションハイジャックの対策としていろいろと設定を厳しくして、ハイジャックの難易度を上げることは常に必要ですが、かといって、暗号化していない通信に重要な情報を載せて良い理由にはなりません。

大事なところ以外はハイジャックされても大丈夫な作りにするか、後は多少お金をかけてでもSSL化するかだと思います。
SSLはそれほどサーバー負荷は高くないと思いますし、そんなに負荷がかかるほどのアクセス数があるのであればアクセラレータを入れても十分元がとれるシステムだと思うのですが・・・

DBに比べて、WEBサーバなんて数ランク性能を下げても十分だと思います。まさか、WEBとDBが同じサーバーということはありませんよね？

補足

返答ありがとうございます

＞私はIPアドレスも偽装可能と書いたつもりなのですが・・・
偽装可能とのことですので、質問の方法はまったくセキュリティ向上の意味を成さないと判断されたということですね？

＞一般的にインターネットを通ってきた物であればIPアドレスもそれほど信用できるものではありません。とくに海外経由の通信の場合は。
この件ですが、なぜ正規のユーザが海外Proxyを経由して匿名でサービスを受ける必要があるのでしょうか？
また、こんな回りくどい方法で接続する正規のユーザがどれほどいるのでしょうか？
この回答は正規のユーザがProxyを経由して偽装する可能性があるからIPチェックは無意味と取れるのですが・・・
また、ハイジャッカーが偽装のために海外PorxyのIPを埋め込んで（あるいは海外Proxy経由して）データ送信してきても、
正規ユーザはこの匿名Proxyを利用していないはずなので、IPアドレスチェックでIPアドレス不一致となり偽装は簡単に見破れると思いますが。

次に、「IPアドレスも偽装可能」の件ですが、
CGIで読み取れるREMOTE_ADDRはHTTPヘッダに含まれているわけではなく、
IPパケットのIPヘッダ内の送信元IPアドレスです
よって、単にIPヘッダの送信元IPアドレスを置き換えるだけでは偽装は出来ません
なぜならば、IPパケットにはシーケンス番号があり、この番号通りにパケットの送受信がされなければならないからです
単にIPヘッダだけをすりかえてもシーケンスが連続していないため、サーバ側のOSがパケットを破棄します
また、ハイジャッカーがIP偽装するとしたら、正規のユーザのIPアドレスで偽装することになると思いますが、この場合、サーバからの返信パケットはハイジャッカーの端末に送られず、正規のユーザの端末に送られることになりハイジャック失敗に終わると思いますが。

＞確かにセッションハイジャックの対策としていろいろ・・・
これは、質問の趣旨から外れています
セキュリティ向上のためにSSLがどれほど効果があるかをお聞きしているわけでは有りません
SSLが有効であることは存じておりますし、全てのページをSSL通信にしてしまうことがとても有効であることも存じております

＞大事なところ以外はハイジャックされても大丈夫な作りにするか
この方法の一つとして、IPアドレスチェックの有効性について質問させていただいているのですが・・・

＞DBに比べて、WEBサーバなんて数ランク性能を下げても十分だと思います。まさか、WEBとDBが同じサーバーということはありませんよね？
私はwebショッピングサイト等の運営は一切しておりません
今回の質問はセッションハイジャックを防ぐ一つの方法として有効か、この方式の理論を問うております