XSSとセキュリティリスクと正しい脆弱性報告のあり方 - 最速転職研究会

適当 XSSがある=なんでもやり放題ではない ブログサービスなど自由にHTMLをかけるようなサービスでは、害が及ばないように表示を丸ごと別のドメインに分けていたり、あるいは別ドメインのIFRAME内で実行したりしているのが普通です。個人情報を預かってるサイトは、重要個人情報についてはHTTPSじゃないと参照できなかったり、そもそも表示しなかったり(パスワードやカード番号等)、決済用のパスワードや暗証番号を入れないと操作できなかったりする。 参考までに http://blog.bulknews.net/mt/archives/001274.html (2004年のアメブロ脆弱性の話) http://d.hatena.ne.jp/yamaz/20090114 (信頼できないデータを取り扱うドメインを分ける話) 管理用と別ドメインに分けたにも関わらず、script実行できることに対してDISられ

[setamise]

初心者はまず「脆弱性があっても大丈夫にする」ことを覚えるべき。個人情報を預からない、決済機能は外部に頼る等/上級者は焼肉や寿司を奢ってもらうことを覚える

[mumincacao]

IPA 経由はいろいろとめんど～なのがにゃぁ・・・報告来たのがすごい遠回りしてるのに実際はもっと単純な方法があるの見つけたこともあるけど・・・（´・ω・｀；【みかん

[sousk]

影響範囲

[cloudliner_tweets]

"XSSとセキュリティリスクと正しい脆弱性報告のあり方 - 最速転職研究会"

[kogawam]

噂を聞いて、さっき探して1個報告した。 http://d.hatena.ne.jp/kogawam/20100223/1266942303 （IPAにも届け出た）／追記：はてなから修正完了連絡が来てました。報告を受けたその日のうちに完了。速いです。

[tittea]

なんかはてなは最近敵を増やしているような気がするなぁ。有名になってきたと言うことか。

[mi1kman]

急ぐのであればid:HiromitsuTakagiやid:ockeghemのようにサイトとIPAの両方に連絡すれば良い、ガイドラインでも認められている/サイトによっては脅迫と取られるのでこれを他人に勧めるのは良くない

[nilnil]

何のために経産省が旗振ってまでして脆弱性報告の仕組み作り上げたと思ってんだか。/「脆弱性報告の謝礼を「はてなポイント」や「カラースター」で代用するという風習がある」＜は●なならやりかねないｗ

[u1_fukui]

"まず最初に「脆弱性があっても大丈夫にする」ことを覚える"

[monjudoh]

『ブログサービスなど自由にHTMLをかけるようなサービスでは、害が及ばないように表示を丸ごと別のドメインに分けていたり、あるいは別ドメインの IFRAME内で実行したりしているのが普通です。』

[mas-higa]

京都の H 社は高木さんがテストしてくれるから安全です。

[yanbow]

セキュリティ XSS

[YaSuYuKi]

ところが京都に本社を置くHという会社は、脆弱性報告の謝礼を「はてなポイント」や「カラースター」で代用するという風習があるため、必然的に脆弱性を報告するメリットが少なくなる

[K-Ono]

はてななんだかはまちおにいちゃんなんだかひろみちゅせんせーなのか。この界隈、Ｈ多すぎ。

[Cherenkov]

焼肉や寿司食べたくてウズウズしてるんだよォォォ！！！！

[heiwaboke]

交通費も出してくれるのですか？

[as365n2]

IPAと京都のH社と焼肉や鮨

[zorio]

「脆弱性報告の謝礼を「はてなポイント」や「カラースター」で代用」

[nipotan]

謝礼の焼肉や寿司が、牛角とかスシローだったら報告するモチベーションにならないよね

[Hamachiya2]

レアスター欲しいんでちょっとXSS探してきます http://d.hatena.ne.jp/Hamachiya2/20100223/hatena_xss_report

[MinazukiBakera]

ゼロデイ公開されたorされそうなら対応が早くなるというのはまあ当然の話で、まあ確かに間違ってはいないですね。

[caraldo_k]

"脆弱性の報告を受けたら、お礼として焼肉や寿司を奢るという慣習がある。"なるほど。

[nitoyon]

XSSがあったときのリスクを下げる方法、XSSを報告する方法

[cubed-l]

「脆弱性があった場合の影響範囲を抑える」これは大事／「IPAを通したりすると、対応が遅くなるのが普通です」開発者がそのまま表に出ているサービスならそうかもなぁ

[t_horie]

脆弱性の報告はIPA通すと諸々の手続きが面倒くさくなることを知っているため、サービス開発者同士のネットワークでは、IRC、各種IM、Skypeなどで中の人に直接知らせるのが普通です。そして脆弱性の報告を受けたら、お礼

[hasegawayosuke]

「つまりIPAから脆弱性の報告が来る=緊急ではないという図式が成り立ってしまう」この視点はなかった。ところで誰も寿司も焼肉もおごってくれないおれ負け組。あ、MSからはいろいろ奢ってもらってるけどアメリカの飯は

[and_hyphen]

うまく落としきれてないな...

[clicklog]

"脆弱性の報告はIPA通すと諸々の手続きが面倒くさくなることを知っているため、サービス開発者同士のネットワークでは、IRC、各種IM、Skypeなどで中の人に直接知らせるのが普通です。そして脆弱性の報告を受けたら、お礼

[xenoma]

はてな焼肉、はてな寿司のリリースが待たれる

[hirafoo]

「京都に本社を置くHという会社」--