牧歌的 Cookie の終焉 | blog.jxck.io
Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。 冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、 Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。 そんな Cookie が今どう使われ、 3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする 一度保存すれば、次から自動で送る
Cookie の性質を利用した攻撃と Same Site Cookie の効果 | blog.jxck.io
Intro Cookie はブラウザによって保存され、紐づいたドメインへのリクエストに自動で付与される。 この挙動によって Web におけるセッション管理が実現されている一方、これを悪用した攻撃方法として、 CSRF や Timing Attack などが数多く知られており、個別に対策がなされてきた。 現在、提案実装されている SameSite Cookie は、そもそもの Cookie の挙動を変更し、こうした問題を根本的に解決すると期待されている。 Cookie の挙動とそれを用いた攻撃、そして Same Site Cookie について解説する。 Cookie の挙動 Cookie は、 Set-Cookie によって提供したドメインと紐づけてブラウザに保存され、同じドメインへのリクエストに自動的に付与される。 最も使われる場面は、ユーザの識別子となるランダムな値を SessionI
はてなIDがクッキーで約50サイトに送られていた話 - こせきの技術日記
(追記) 要点を整理をした記事を書きました。こっちのほうが、余計なこと書いてない分、わかりやすいかもしれません。 はてなブックマークに、マイホットエントリーという大変すばらしい機能があって、毎日見ている。 マイホットエントリー機能のご紹介 - はてなブックマーク開発ブログ 自分のマイホットエントリーのURLはこう。 http://b.hatena.ne.jp/koseki/ マイホットエントリーを見ていると、はてなID koseki を含むリファラが各サイトに送信される。 リファラは Google アナリティクスの __utmz に記録される。 Firefox には、全クッキーの値を横断検索する機能がある。 設定 ＞ プライバシー ＞ Cookieを個別に削除 ＞ 検索 自分の環境では、およそ50個*1のクッキーに koseki という文字列が含まれていた。 あんなサイトやこんなサイトを、
GoogleがSafariの設定を迂回してトラッキングしていたとされる件について(2) - 最速転職研究会
http://d.hatena.ne.jp/mala/20120220/1329751480 の続き。書くべきことは大体既に書いてあったので、補足だけ書く。 Googleは制裁金2250万ドルを支払うことでFTCと和解した http://jp.techcrunch.com/archives/20120809google-settles-with-ftc-agrees-to-pay-22-5m-penalty-for-bypassing-safari-privacy-settings/ まさか(まともに調査されれば)こんなことになるとは思わなかったので驚いた。異常な事態である。そしてGoogle側の主張を掲載しているメディアが殆ど無いのも異常な事態である。 2250万ドルもの制裁金(和解金)が課せられるのは、2009年に書かれたヘルプの記述が原因だという。 問題の記述 http://obam
GoogleがSafariの設定を迂回してトラッキングしていたとされる件について - 最速転職研究会
※この記事の完成度は85%ぐらいなので後で追記します。 http://webpolicy.org/2012/02/17/safari-trackers/ http://online.wsj.com/article/SB10001424052970204880404577225380456599176.html http://blogs.wsj.com/digits/2012/02/16/how-google-tracked-safari-users/ 合わせて読みたい。 http://trac.webkit.org/changeset/92142 https://bugs.webkit.org/show_bug.cgi?id=35824 一番上のJonathan Mayer氏の記事については純粋に技術的なレポートなので、特におかしなことは書かれていない。元はといえばSafariのCooki
Googleに個人がバレ過ぎて恐怖 (2011年12月6日掲載) - ライブドアニュース
ネットユーザーの属性が「Googleにバレバレ」だとツイッターやネット掲示板で話題になっている。今回話題になったサービスは、Googleがユーザーにもっとも適した広告を表示するため、cookie履歴からユーザーの興味あるカテゴリー、年齢、性別といった属性を判定したもの。その的中率の高さから、ネット掲示板には驚きの声が次々に寄せられている。実際にGoogleが判定した「興味あるカテゴリー」と「属性」を見たユーザーからは「あ この記事を見るためには この記事はlivedoorNEWSアプリ限定です。 (アプリが無いと開けません) 各ストアにスマートフォンでアクセスし、 手順に従ってアプリをインストールしてください。 ランキング 総合 国内 政治 海外 経済 IT スポーツ 芸能 女子
属性型JPドメインと地域型JPドメインに対するCookie Monster Bug調査
※凡例 地域型JPドメインの第2レベルとは、tokyo.jpなど第2レベルのドメイン名でCookieが発行できるもの 地域型JPドメインの第3レベルとは、chiyoda.tokyo.jpなど第3レベルのドメイン名でCookieが発行できるもの 背景が赤のセルは現バージョンでバグのあるもの。無色は旧バージョンの参考情報 携帯電話に関しては機種毎に仕様が異なる可能性が高く、全機種について調査したわけではないので、上記はあくまで抜き取りでの結果であることに注意されたし ※確認機種、バージョン等 iモード:P-07A(iモードブラウザ2.0)で確認 EZweb:W52T、biblioで確認（結果は同じ）。詳細は後述 Softbank(1): 821N, 932SHで確認。これらは非公式JavaScript対応機 Softbank(2): 944SH(公式JavaScript対応機)で確認 Andr
都道府県型JPドメインがCookieに及ぼす影響の調査
JPRSからのプレスリリース『JPRSが、地域に根ざした新たなドメイン名空間「都道府県型JPドメイン名」の新設を決定』や報道などで「都道府県型JPドメイン」というものが新設されることを知りました。 都道府県型JPドメインとは、現在活発に使われていない地域型ドメインを活性化する目的で、地域型ドメインの制約（ドメイン名が長い、一人・一団体あたり1つまで）を簡略化しようというもののようです。 しかし、現在の地域型ドメインは、ブラウザにとって処理がややこしいもので、IEなどは昔からまともに対応していません。このため、Cookie Monster Bugという脆弱性になっているという経緯があります。このルールをさらに複雑にすることになるということから、ブラウザセキュリティに関心の高い人たちが騒ぎ始めています。 そこで、高木浩光氏の日記「JPRSに対する都道府県型JPドメイン名新設に係る公開質問」の以
auのSSLでのCookieの挙動がおかしい - maru.cc@はてな
auはCookieを使うことが出来る。キャリアの公式情報としても公開されている。 「404 Not Found」 EZweb対応端末においてCookieは、EZサーバに保管されます。 ただし、WAP2.0ブラウザ搭載端末ではEnd to EndのSSL通信時は端末に保管されます。 なお、EZサーバに保管されたCookieはKDDI設備のメンテナンスなどによりリセットされる場合があります。 つまり httpの非SSL領域では、ゲートウェイ（EZサーバ）がCookieを保管する httpsのEnt to EndのSSL領域では、端末がCookieを保管する ということだ。 これが結構曲者である。 さらに、公式な資料はないけど、端末の挙動から想像するに以下のような挙動をする。 http領域では、GWと端末の両方のCookieを送ってくる http領域で、GWと端末に同じ名前でCookieが設定さ
CookieもIPもなしで、ユーザーをトラックできるか
Panopticlick 異なるサイト間でユーザーを識別できる利点というのは、いくらでもある。たとえば広告だ。ユーザーが閲覧するサイトの傾向から、効果的な広告を表示させることができる。 プライバシーの問題はさておき、実際に利益になるなら、誰かがやる。 ユーザーをトラックングするにはどうすればいいか。これは、一般的には、CookieやIPアドレスが用いられる。これはつまり、そのユーザーであることを示す、十分にユニークなIDがあればいいのだ。 しかし、多くのユーザーのIPアドレスは、変動する。ユーザーはCookieを無効にしているかもしれないし、すぐに消すかもしれない。これらの古典的な方法以外に、ユーザーを特定する方法はないだろうか。 ブラウザは、実に多くの情報を送っている。たとえばユーザーエージェントだ。ユーザーエージェントは、もちろん完全にユニークなIDではない。しかし、同じユーザーエージ
PHP:既知のセキュリティ脆弱性 – Session Adoption
(Last Updated On: 2018年8月13日)追記：より新しい情報については間違いだらけのHTTPセッション管理とその対策をどうぞ。 PHPには広く知られているにも関わらず放置されている既知のセキュリティ脆弱性が幾つかあります。その一つがセッションモジュールのセッションアダプション(Session Adoption)脆弱性です。この脆弱性は現在広く利用されているWebアプリケーションの安全性に、非常に大きな影響を与える脆弱性です。 セッションアダプション脆弱性とはセッション固定化攻撃を可能とする脆弱性の一種です。セッションアダプションに脆弱なセッション管理システムは、ユーザ(ブラウザ)が送信してきた未初期化のセッションIDを受け入れ、セッションを初期化してしまいます。PHPに限らず、RailsやJavaのフレームワーク等、多くのWebフレームワークに発見されている脆弱性です。
Yahooログールがやばい件 - shibataismの日記
ひっそりとリリースされ、さほど話題にやっていないYahooログールですが、これは結構いけてる、かつ破壊的なサービスです。 名称もデザインもパクリっぽくて、わざとサブマリンしようとしているのかとも思えます。 Yahoo!ログール via kwout 何がすごいのかというのを少しだけ。 まずは、一つ考えて欲しいことがあります。 「あなたは、日本中で最近1週間に使われたブラウザが持っているCookieを全部閲覧できるとします。いったい、どのドメインのCookieが一番多いでしょうか？」 答え。多分Yahoo(*.yahoo.co.jp)のCookieです。 ここまで書けば勘のいい人なら分かってしまうと思いますが、Yahooログールの最大の強みはこの「発行数が最も多いCookieを自由自在に読める」ということです。 例えば、 AさんのブログにYahooログールを導入したとします。 そのAさんのブロ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
組織図・名簿｜東京オリンピック・パラリンピック競技大会組織委員会
DNS毒入れ擬似体験
あなたのブラウザ履歴は丸裸に - ライブドアニュース
マルチメディア・アフィリエイトの強制クッキー疑惑は闇の中へ | 大和型参番館（BBQ-03）