XSSはそのサイトを信頼している人が多いほど脅威になりうる - ぼくはまちちゃん！(Hatena)

はい！ こんにちは！ 今日は珍しくセキュリティについて一言です！ タイトルにある通り、 XSSはそのサイトを信頼している人が多いほど脅威になりうる ってことなんだけど…。これだけだと、あたりまえっぽいよね。 まずXSS脆弱性ってなに？ って人のために簡単に説明しちゃうと、これ サイトを作った人以外の人でも、好きなスクリプトを実行できちゃう状態 ってことなんだよね。 でもよく考えてみてほしい。 スクリプトが実行できる。へんなスクリプトが実行されちゃうかもしれないページ。 これって別に、「ふつうにスクリプトを許可されている、そこらへんのブログやホームページと同じ」じゃない？ いや、微妙に違うかな。 違う点はひとつ。 スクリプトを埋め込めるのが「サイトの管理者オンリー」なのか「誰でも」なのかの違いがあるんだよね。 … じゃあ、「名もなきサイトの管理者」と「誰でも」の違いってなんだろう？ なんだろ

[Hamachiya2]

↓狙ってるならともかく id:hiroyukiegami きみはそこでそういうこと言わないほうがいい

[ortica]

[h:keyword:http://b.hatena.ne.jp/hotentry/20081002][h:keyword:XSS]

[titan22]

なんかおかしいだろって思ったらコメ欄になんとなく思ってたことがまとめられてた。

[tatchimee]

なんかおかしいだろって思ったらコメ欄になんとなく思ってたことがまとめられてた。

[setamise]

『みんなからの信頼がないサイトはXSSできてもどうってことない』真面目に取り組むのなら、金額換算されるような直接的な被害は当然として、社会的な影響（責任、倫理）を考えなくては意味がないというお話。

[teppeis]

「みんなからの信頼がないサイトはXSSできてもどうってことない」

[Arison]

閲覧者ではなくどちらかというと公開側の被害が心配。

[morygonzalez]

みんなからの信頼がないサイトはXSSできてもどうってことない

[loca1982]

はてブコメントまで含めて

[janus_wel]

労力に見合う crack 対象て実際どれだけあるんだろうね？

[ys0000]

じゃあ、「名もなきスーパーハカー」と「誰でも」の違いってなんだろう？ なんだろうね。 …じゃあ、「はまちちゃん」と「誰でも」の違いなら？（セキュリティ関連の発言に対する信頼度）

[as365n2]

コメント欄

[rna]

この場合の「信頼」というのはサービス提供者に対する信頼じゃなくて、「みんなつつがなくアクセスしている」という事実から「だったらぼくも大丈夫！」と推論するような世間一般の人たちの合理性に対する信頼かな。

[drillbits]

みんなからの信頼がないサイトはXSSできてもどうってことない ⇒ そんなどうってことないサイトじゃだめだお

[takeshiketa]

攻撃手法はXSSだけじゃないんだが・・・。個別に脅威について絵本みたいな文面を書いてあげないといけないのか？

[Molokheiya]

なんでそこでそれ

[zu2]

仏の顔も三度まで

[fuktommy]

僕ははまちちゃんのサイトではJavaScriptは切ってるので、XSSがあっても大丈夫なようになっている。予告.inも信用できないのでJavaScriptは切ってる。

[dimbla]

コメント欄まで見るのを推奨

[efcl]

踏み台？ なにそれおいしいの？ それgeocitiesでもできるよ！ はまちちゃんの文章って読みやすいよね。

[totttte]

ちょｗｗｗｗ＞踏み台？　なにそれおいしいの？　それgeocitiesでもできるよ！

[mohri]

コメントとか全部を含めておもろい

[inugamix]

はまちちゃんに惚れるコメント欄。

[seiunsky]

コメント欄のはまちちゃんの文章が素晴らしいです

[hotch_botch]

もしかしてこれを読んで初めて XSS の危険性を知ったのか？だとしたらヤバいよ。このエントリーは「はじめての XSS」とか、そういう為に書かれたものではないよ、きっと。

[K-Ono]

逆に言えば「信頼を得るなら（XSSだのCSRFだの起きたとしても）ちゃんと誠意を見せよう、今後に生かそうという態度を見せるのが大事」ってことか。それを見せないことが最大の脆弱性。KPT重要だな。

[heiwaboke]

なるほど、○○○とはそういう事だったのですね！

[kkobayashi]

「理解しました」と言ってくる人には、「何をどう理解したのか説明してみて？」と言うことにしよう、となんとなく思った。

[os0x]

信頼よりはアクセスの多い少ないじゃないかな／ウイルスだと繁殖力・深刻さ・汎用性とかで評価されるよね／ そもそもそういう話ではないか＞＜

[uunfo]

はまちちゃんのコメントのすばらしさとえがい人のコメントのえがっぷりの落差

[tarchan]

id:hiroyukiegami=えがちゃんなのか。