Wie sichere ich CFID für die PCI-Compliance?

Question

Wir haben unsere PCI-Scans nicht bestanden, weil ColdFusion vorhersehbare CFIDs aufweist. Das genaue FAIL, das wir erhalten, ist "Vorhersagbare Cookie Session IDs". Jetzt ist der CFTOKEN nicht mehr vorhersehbar, da ich CF für die Verwendung von UUID für CFTOKEN konfiguriert habe. Die CFID ist jedoch immer noch vorhersehbar und von Änderungen in CF Admin nicht betroffen.

Ich weiß nicht wirklich, warum die CFID vorhersehbar ist eine Bedrohung, aber sie wollen, dass wir es beheben.

Ich konnte nichts über die Angelegenheit von googeling finden, und ich bin mir wirklich nicht sicher, was ich sonst tun soll.

Hat sich jemand anderes mit so etwas beschäftigt? Irgendwelche Vorschläge?

EDIT: Hier ist, was meine Application.cfc Datei wie folgt aussieht:

<cfcomponent output="false"> 

    <cfset this.name="DatabaseOnline"> 
    <cfset this.sessionManagement=true> 
    <cfset this.setDomainCookies=true> 
    <cfset this.setClientCookies=true> 
    <cfset this.sessionTimeOut=#CreateTimeSpan(0,20,0,0)#> 

</cfcomponent> 

Und mein CF Admin sieht wie folgt aus: http://i.imgur.com/k9OZH.png

Wie deaktiviere ich CFID?

Answer 1

Die Verwendung von J2EE-Sitzungsvariablen sollte dieses Problem beheben.

Um dies zu tun, gehen Sie zu CF-Administrator. Servereinstellungen -> Speichervariablen und aktivieren Sie das Kontrollkästchen 'J2EE-Sitzungsvariablen verwenden'.

Sie können mehr Informationen finden Sie hier http://helpx.adobe.com/coldfusion/kb/predictable-cookie-session-ids-reported.html

Answer 2

zum Scanmittel erklärt, dass der CFID sequentiell ist, ist aber ohne eine entsprechende CFTOKEN Cookie nicht gültig, die randomisiert ist. Da die Sitzung nicht mit der ID allein gehackt werden kann, mildert sie den Grund für den Scan-Fehler. Ihr automatisierter Test setzt voraus, dass der CFID-Cookie die Sitzung selbst steuert, was nicht der Fall ist. Jeder Scan-Anbieter, mit dem ich gearbeitet habe, hat dies als mildernden Faktor akzeptiert und diesen spezifischen Test auf CF-basierten Websites entweder deaktiviert oder außer Kraft gesetzt.

Wenn keine der Sites auf dem CF-Server Sitzungsvariablen verwendet, können Sie alternativ die Sitzungsverwaltung vollständig deaktivieren, und CF gibt die Cookies überhaupt nicht aus. Wenn sie benötigt werden, sollte die obige Erklärung, wie CF-Sitzungen verwaltet werden, Sie durchbringen.