ja ja ja fr ja ja en ja ja en ja ja en ja ja ja ja en en nl ja en ja ja nb ja ja en ja ja en ja ja en ja en ja ja ja ja ja ja ja ja ja ja ja ja ja cv es es ja ja ja ja ja ja ja ja ja ja ja ja ja ja ja ja ja
このX-Runtimeが、タイミング攻撃で使われている事例があったとのことで、デフォルトから削除になりました。
Remove Rack::Runtime and deprecate referencing it · rails/rails@7bfcf4b
これにより、明示的にRack::Runtimeをミドルウェアで使う宣言をしない限りはRack::Runtimeは使えなくなります(Rails7.0から)。
実際にはX-Runtimeの値を見なくても、レスポンスが帰ってくる時間を計測すれば(ネットワークを経由することによる多少の誤差はありつつも)タイミング攻撃はできてしまうのでRack::Runtimeの削除の効果は限定的です。しかし普段の開発で使ってないならRails7.0を待たずに削除しておくのがいいんじゃないかな、と個人的には思っています。↓のコードでデフォルトRackミドルウェアから消せるので、消したい方はこれで消してみてください。
# config/application.rb config.middleware.delete Rack::Runtime
削除のコミットがrevertされたので結局Rails7.0でも使えます。revertされたのは上の方で書いた
レスポンスが帰ってくる時間を計測すれば(ネットワークを経由することによる多少の誤差はありつつも)タイミング攻撃はできてしまうのでRack::Runtimeの削除の効果は限定的です
Add back Rack::Runtime to the default middleware stack. · rails/rails@4ace047
willnet 2021-04-15 19:15
Rails::API について発表した
FiNC さんの社内マイクロサービス勉強会と、表参道.rb にて、そ…
ginza.rb 第1回を開催して strong_parameters のソースコードを読んだ
7月16日(火)に ginza.rb 第1回を開催しました。 Ginza.rb 第1回…
pry-rails が追加してくれるコマンド3つ
pry-rails は、登場した頃は単純にrails consoleしたときに pry…
エラー通知用ウェブサービス airbrake のメモ
エラー通知用のウェブサービス Airbrake の ruby 用プラグイン …
Rails3 で HTTPS を使うには
Configuring Rails 3 to use HTTPS and SSL – Simone Carletti'…
« `Thread.current[:hoge]`はスレッドローカ… Gimeiのバージョン1.0.0をリリースした »
id:willnet はてなブログPro
べんりで楽しいwebサービスをたくさん作りたい
読者です 読者をやめる 読者になる 読者になる
@netwillnetをフォロー
失敗したテストのログだけを出力するぞ
iCARE Dev Meetup #34で登壇しました
`Thread.current[:hoge]`はスレッドローカル変数を参照していると思いきや実際はファイバーローカル変数だった