cookies - 如何确保 CFID 符合 PCI 合规性？

Question

我们的 PCI 扫描一直失败，因为 ColdFusion 具有可预测的 CFID。我们得到的确切失败是“可预测的 Cookie session ID”。现在，CFTOKEN 不再是可预测的，因为我已将 CF 配置为对 CFTOKEN 使用 UUID，但是，CFID 仍然是可预测的，并且不受 CF 管理中的任何更改的影响。

我真的不知道为什么可预测的 CFID 是一个威胁，但他们希望我们解决它。

我无法通过谷歌搜索找到任何有关此事的信息，而且我真的不知道还能做什么。

还有人处理过类似的事情吗？有什么建议么？

编辑:这是我的 Application.cfc 文件的样子:

<cfcomponent output="false">

    <cfset this.name="DatabaseOnline">
    <cfset this.sessionManagement=true>
    <cfset this.setDomainCookies=true>
    <cfset this.setClientCookies=true>
    <cfset this.sessionTimeOut=#CreateTimeSpan(0,20,0,0)#>

</cfcomponent> 

我的 CF 管理员如下所示:/image/VZF0Q.png

那么如何禁用 CFID？

Answer 1

使用 J2EE session 变量应该可以解决该问题。

要执行此操作，请转至 CF 管理员。服务器设置 --> 内存变量并选中“使用 J2EE session 变量”复选框。

您可以在此处找到更多信息 http://helpx.adobe.com/coldfusion/kb/predictable-cookie-session-ids-reported.html