PCI適合のためにCFIDを保護するにはどうすればよいですか？

Question

ColdFusionに予測可能なCFIDがあるため、PCIスキャンに失敗しました。正確なFAILは「予測可能なCookieセッションID」です。 CFTOKENはCFTOKEN用にUUIDを使用するようにCFを設定して以来、CFTOKENは予測できなくなりましたが、CFIDはまだ予測可能であり、CF Adminの変更によって影響を受けません。

予測可能なCFIDがなぜ脅威であるのかわかりませんが、私たちはそれを修正したいと考えています。

私はgoogelingによって何かを見つけることができませんでした。そして、私は本当に何をすべきか分かりません。

他に誰かがこのようなものを扱っていますか？助言がありますか？

EDIT：

<cfcomponent output="false"> 

    <cfset this.name="DatabaseOnline"> 
    <cfset this.sessionManagement=true> 
    <cfset this.setDomainCookies=true> 
    <cfset this.setClientCookies=true> 
    <cfset this.sessionTimeOut=#CreateTimeSpan(0,20,0,0)#> 

</cfcomponent> 

そして、私のCFの管理者は、次のようになります：http://i.imgur.com/k9OZH.png

それでは、どのように私はCFIDを無効にします。ここは私のApplication.cfcファイルは次のようになりますか？

Answer 1

J2EEセッション変数を使用すると、その問題に対処する必要があります。

これを行うには、CF管理者に行ってください。 「サーバー設定」 - >「メモリー変数」を選択し、「J2EEセッション変数を使用する」チェック・ボックスを選択します。

あなたはCFIDがシーケンシャルであるが、ランダム化され、対応するCFTOKENクッキーなしで有効ではないことをスキャンエージェントに説明し、ここでhttp://helpx.adobe.com/coldfusion/kb/predictable-cookie-session-ids-reported.html

Answer 2

をいくつかのより多くの情報を見つけることができます。 IDだけでセッションをハイジャックすることはできないため、スキャン失敗の理由が緩和されます。彼らの自動化されたテストは、CFIDクッキーがそれ自身のセッションを制御することを前提としています。私が取り組んできたすべてのスキャンベンダーは、これを緩和要因として受け入れ、CFベースのサイトで私がその特定のテストを無効にしたり無効にしたりしています。

また、CFサーバー上のどのサイトもセッション変数を使用していない場合は、セッション管理を完全に無効にでき、CFはCookieをまったく発行しません。必要な場合は、CFセッションの管理方法についての上記の説明が役立ちます。