Hatena::Groupsubtech

ういはるかぜの化学

Friday, July 01, 2011

secure.softbank.ne.jp ヤバイの話 12:47 secure.softbank.ne.jp ヤバイの話 - ういはるかぜの化学 を含むブックマーク はてなブックマーク - secure.softbank.ne.jp ヤバイの話 - ういはるかぜの化学

今ならまだ誰も書いてないから書きましょうと言われたのですこしだけ。詳しくは徳丸さんや高木先生やばけらさんがわかりやすく書いてくれます

【更新】携帯サイト閲覧時の重要なお知らせ | 個人のお客さまへのお知らせ | お知らせ | モバイル | ソフトバンクということでHTTPSで使うsecure.softbank.ne.jp6月30日で廃止されました。廃止した理由は利便性のためと書かれていますが、セキュリティ上の問題があったからではないかと考えています

このゲートウェイはいわゆる共有SSLがもつ問題(参考:高木浩光@自宅の日記 - 共用SSLサーバの危険性が理解されていない)と同様の問題を抱えていました。まあ抱えているためというか事実上共有SSLそのものなわけです

それとは別に最近SoftBankの端末では徐々にJavaScriptXMLHttpRequestを使うことができるようになってきていました。……ということはもうおわかりですね。

secure.softbank.ne.jpを介すことでHTTPSサイトはsecure.softbank.ne.jpという同一ドメインとなり、ほかのサイトもすべて読み取れるようになりますしかも悪いことにsecure.softbank.ne.jpを介すことで契約者固有IDサイトに送られ簡単ログインを行えるようになるので機密情報を取得しやすくなります

たとえば悪意あるサイト https://secure.softbank.ne.jp/evil.example.com/ の内にiframe要素で https://secure.softbank.ne.jp/secure.example.org/ を開いた場合JavaScriptからiframe要素のcontentWindowプロパティを介してHTMLを読み取れる状態でした。

ですのでとりあえずの対応としてブラウザのセキュリティ設定に関する重要なお知らせ(7月2日更新) | 個人のお客さまへのお知らせ | お知らせ | モバイル | ソフトバンクという形でJavaScriptを無効にするようアナウンスしたのだと考えられますJavaScriptが無効であればiframeやXHRによる読み取りはできなくなりますので一応安全です

そして最終的にゲートウェイであるsecure.softbank.ne.jpを停止した、というのが今回のお話かなと思っています真相は謎です

ちなみに他ドメイン情報を読み取れる挙動は実際に確認してIPAに届け出て受理されています

詳しくは徳丸さんや(以下同文)。

ockeghemockeghem2011/07/02 07:53お待たせしました。少し詳しく説明しました http://blog.tokumaru.org/2011/07/ssl.html

mayukimayuki2011/07/02 13:08わかりやすく詳しい解説ありがとうございます!やっとという感じですね。

ruijin2012ruijin20122011/10/26 15:46ロレックス腕時計本舗 http://www.kakakujp.com
ミュウミュウ http://www.kakakujp.com
ミュウミュウ 財布 http://www.kakakujp.com
ミュウミュウ バッグ http://www.kakakujp.com
ミュウミュウ クラッチバッグ http://www.kakakujp.com
ミュウミュウ http://www.kakakujp.com
ミュウミュウ 店舗 http://www.kakakujp.com
ミュウミュウ通販 http://www.kakakujp.com
激安 http://www.kakakujp.com
マテラッセ財布 http://www.kakakujp.com

トラックバック - http://subtech.g.hatena.ne.jp/mayuki/20110701