Как мне обеспечить CFID для соответствия PCI? - PullRequest
Новая
       25

Как мне обеспечить CFID для соответствия PCI?

4 голосов
/ 30 марта 2012

Мы проваливали наши сканирования PCI, потому что ColdFusion имеет предсказуемые CFID.Точный ФАЙЛ, который мы получаем, это «Предсказуемые идентификаторы сеансов cookie».Теперь CFTOKEN больше не является предсказуемым, поскольку я настроил CF для использования UUID для CFTOKEN, однако CFID все еще предсказуем и не подвержен никаким изменениям в CF Admin.

Я действительно не знаю, почему CFIDбыть предсказуемым - это угроза, но они хотят, чтобы мы ее исправили.

Мне не удалось найти что-либо по этому вопросу путем поиска в Google, и я действительно не уверен, что еще делать.

Кто-нибудь еще имел дело с чем-то вроде этого?Какие-либо предложения?

РЕДАКТИРОВАТЬ: Вот как выглядит мой файл Application.cfc: 

<cfcomponent output="false">

    <cfset this.name="DatabaseOnline">
    <cfset this.sessionManagement=true>
    <cfset this.setDomainCookies=true>
    <cfset this.setClientCookies=true>
    <cfset this.sessionTimeOut=#CreateTimeSpan(0,20,0,0)#>

</cfcomponent>

А мой администратор CF выглядит следующим образом: http://i.imgur.com/k9OZH.png

Так как отключитьCFID

Ответы [ 2 ]

5 голосов
/ 30 марта 2012

Использование переменных сеанса J2EE должно решить эту проблему.

Для этого перейдите к CF Administrator. Настройки сервера -> Переменные памяти и установите флажок «Использовать переменные сеанса J2EE».

Вы можете найти больше информации здесь http://helpx.adobe.com/coldfusion/kb/predictable-cookie-session-ids-reported.html

3 голосов
/ 30 марта 2012

Объясните агенту сканирования, что CFID является последовательным, но недействительным без соответствующего cookie-файла CFTOKEN, который рандомизирован.Поскольку сеанс не может быть перехвачен только с помощью идентификатора, это устраняет причину ошибки сканирования.Их автоматический тест предполагает, что файл cookie CFID самостоятельно контролирует сеанс, а это не так.Каждый поставщик сканирования, с которым я работал, принял это как смягчающий фактор и либо отключил, либо переопределил этот специфический для меня тест на сайтах на основе CF.

Альтернативно, если ни один из сайтов на сервере CF не используетпеременные сеанса, вы можете полностью отключить управление сеансом, и CF вообще не будет выдавать файлы cookie.Если они необходимы, приведенное выше объяснение того, как управляются сеансы CF, должно помочь вам.

...