金利0無利息キャッシング – キャッシングできます

localStorageをサードパーティCookieの代用として使う人々に伝えたいこと

00:34 |

セキュリティ的なことについて

• localStorageにデータを保存して別ドメインからpostMessageで読み出すというものなのだけど、保存したデータをどのドメインからでも参照可能になってる事例を3件連続で見た。
• これ読んで欲しい https://developer.mozilla.org/ja/DOM/window.postMessage#.E3.82.BB.E3.82.AD.E3.83.A5.E3.83.AA.E3.83.86.E3.82.A3.E3.81.AB.E9.96.A2.E3.81.99.E3.82.8B.E3.81.93.E3.81.A8
• 1件は知り合いが働いてたり、まあ言えばすぐ直りそうだなと思って伝えたら当日中に直った。あと2件は放ってあってまだ連絡してない(自主的に直ると良いと思う)
• サードパーティCookieを使っている場合、意図的にそういうコードを書いていなければ第三者から参照されることがない。
• localStorage + postMessageは、意図的にsame origin policyを破壊したい時に使うテクニックだ。
• どのドメインに対して許可するかは「自前で面倒を見なくてはいけない」
• Cookie MatchingとかCookie Syncとか呼ばれる技術があることは知ってるけど、生のトラッキングidを直接交換する必然性はないはず。

モラル的なことについて

• localStorageをcookie代わりに使うな!!!と言えば簡単なのだけど
• Safariのcookieに関するポリシーは腐っているし、俺はAppleを快く思ってない。
  • そもそもSafariは特定のドメインだけ許可するようなことが出来ない。
  • 常にユーザーに選択肢が与えられるべきだと思っている。
• トラッキング目的での使用が横行した場合、そのうちサードパーティCookieオフの場合にはサードパーティのlocalStorageもブロックされるようになるだろう(Google Chromeみたいに)
• localStorageは「そういうコードを書かない限り」サーバーに送られないので、ブラウザ側でCookieと同列に扱われるのは間違いで、独立した設定を持つべきだと考えている。
• しかしトラッキングに使われるのが横行すると、区別がされなくなってしまう。

はー、なんか色々言いたいことあるけど、面倒くさいのであとで書くわ。