From: fujioka <fuj@...>
Date: 2013-05-04T21:25:06+09:00
Subject: [ruby-dev:47321] Re: cgiのセッションに使うファイル名の改良

藤岡です。

私もなんでMD5にしているかわからないのですが、
先人がおそらくちょっとした難読化をしたのではないかと。

MD5でハッシュ化しているファイル名自体、
なくしちゃっていいんじゃないの？
ってことでいいですか？

(2013/05/03 22:10), NARUSE, Yui wrote:
> (2013/05/03 21:19), fujioka wrote:
>> xibbarこと藤岡です。
>>
>> http://bugs.ruby-lang.org/issues/1767
>> というずっと昔のチケットなのですが、
>> fixしたいと思っています。
>> MD5が弱いからもっと強いのを使えと言われているのですが、
>> これは何を使えばいいでしょうかね。
>> それと、長さは16文字でいいのかどうかも
>> サジ加減がわからないので、
>> 詳しい人おしえて欲しいです。
> 
> そもそもこれMD5かませる必要あるんですかね?
> session_idをそのままファイル名に使えばいいと思うんですが。
> 
> また、今session_idは長い文字列でもそのまま使ってしまっているので、
> CGI::Session#initializeに/\A\h{16}\z/以外が来た場合は例外にする処理をいれるといいんじゃないかな。
> （こうすると、衝突も狙いにくくなる）
>