サードパーティ Cookie をブロックする制限を緩和する CHIPS という仕様について
作成日 2022-12-30 更新日 2022-12-30 author @bokken_ tag Web, Privacy, Security, Cookie はじめに 3rd Party Cookie をブロックする制限を緩和するための仕様である CHIPS が策定されている。¶ 近年、ユーザの Privacy の向上を目的として 3rd Party Cookie をブロックする流れがある。cross site でユーザトラッキングを提供する多くのツールは 3rd Party Cookie を使っているため、3rd Party Cookie をブロックすることで解決しようとするものだ。すでにいくつかのブラウザではこういった動きが見られる(Firefox, Safari)。¶ しかし、一部のサイトでは 3rd Party Cookie が有効に使われているケースもある。こういったケースで
2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか
サマリ2020年2月にGoogle ChromeはCookieのデフォルトの挙動をsamesite=laxに変更しましたが、2022年1月11日にFirefoxも同様の仕様が導入されました。この変更はブラウザ側でCSRF脆弱性を緩和するためのもので、特定の条件下では、ウェブサイト側でCSRF対策をしていなくてもCSRF攻撃を受けなくなります。この記事では、デフォルトsamesite=laxについての基礎的な説明に加え、最近のブラウザの挙動の違いについて説明します。 （2022年1月29日追記） 本日確認したところ、Firefoxにおけるデフォルトsamesite=laxはキャンセルされ、従来の挙動に戻ったようです（Firefox 96.0.3にて確認）。デフォルトsamesite=lax自体は先行してGoogle Chromeにて実装されていましたが、細かい挙動の差異で既存サイトに不具合が
Chrome におけるスキームフル Same-Site の適用について
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
最新のブラウザで変わるCookieの取り扱いやPrivacyの考え方
2020/02/13 DevSumi 発表資料
Rebuild: 130: Home Screen Perfectionist (tksohishi)
Takeshi Ohishi さんをゲストに迎えて、ビザ、Twitter, レイオフ、Product Engineer, iPhone, 自由などについて話しました。 Show Notes O-1ビザ twtr.jp | Twitter Blogs クックパッドの本番環境で使われている Ruby のバージョンが 2.2 になりました Ruby Enterprise Edition Fastly API Documentation FireMobileSimulator :: Add-ons for Firefox Twitter Plans Company-Wide Layoffs Next Week | Re/code エンジニアとして世界の最前線で働く選択肢 "I've been impacted by $TWTR's layoffs." Rebuild: 113: My Dad Is
HTTPS 化する Web をどう考えるか - Block Rockin’ Codes
Update 2015/5/8: 指摘頂いたタイポや誤訳などを更新しました。 2015/5/8: 構成を一部修正しました。 Intro 4/30 mozaiila のセキュリティブログに下記のようなエントリが投稿されました。 Deprecating Non-Secure HTTP | Mozilla Security Blog エントリはそこまで長くないので、ここに翻訳の全文を記載します。 そして、元エントリのライセンスである CC BY-SA 3.0 に則り、 本エントリも同じく CC BY-SA 3.0 とします。 Deprecating Non-Secure HTTP 原文: Deprecating Non-Secure HTTP 今日は、 non-secure な HTTP から、徐々に廃止していくという方針についてアナウンスします。 HTTPS が Web を前進させる手段である
パーソナライズとプライバシーの尊重 | Mozilla Japan ブログ
Mozilla はその使命として、人々が自分のオンライン生活を自分でコントロールでき、人々が尊重されるインターネット体験を提供しなければならないと考えています。誰かを尊重するということは、その人のプライバシーを尊重するということでもあります。Mozilla は、「人々がすべてを承知している状態」という原則を目指しています。つまり、ある人についての情報を収集するときには、本人がそのことを承知しており、収集した情報はその人のためになる方法で利用される、という状態です。人々は情報がどのように収集され、利用されるかということを知っているべきです。また、自分の個人データを提供する代わりに受けるサービスが適正であるかどうかを、一人ひとりが判断できるべきです。それを実現するのは、特に便利さや使いやすさとの兼ね合いを考えると難しい場合があります。人々は、頻繁にプロンプトが表示されたり選択に迷ったりすること
Firefox 22のCookieに関するポリシー変更(予定)についての意見書
http://security.slashdot.jp/story/13/02/24/0858210/ Firefox 22のCookieに関するポリシー変更(予定)で具体的にどういう悪影響が懸念されるのかについて書きます。 この変更は「サードパーティCookieをデフォルトでブロック」と言われて想像するものと少し違います。 正確には既にCookieが保存されているドメインであれば3rd party cookieの読み書きを緩和して、新規での3rd party cookieの保存をブロックするというものです。Safariの現行のポリシーとほぼ同じものです。 自分は直接的な不利益を受ける立場ではない。 自分の所属している企業のWebサイトの多くは広告収益に依存しているが、この変更があっても「巨大な」インパクトは恐らくない。 常用している全てのブラウザで3rd party cookieをブロッ
Firefox 22はサードパーティーのCookieをデフォルトでブロック | スラド セキュリティ
Firefox 22ではサードパーティーのCookieをブロックする設定がデフォルトで有効になるそうだ(Ars Technicaの記事、 Bugzillaの該当ページ、 Web Policyブログの記事、 本家/.)。 現在でもFirefoxでは設定によりサードパーティーのCookieをブロックできるが、Firefox 22以降はデフォルトで実際に訪れたWebサイトが発行するCookieのみを受け入れるようになる。しかし、Webサイトに表示される広告の多くが情報収集のためにサードパーティーのCookieを使用しており、広告業界からは否定的な反応も出ている。Interactive Advertising BureauのMike Zaneis氏は、広告業界に対する初めての核攻撃だなどとツイートしているが、すでにSafariはデフォルトでサードパーティーのCookieをブロックする設定になってお
インターネット Cookie とは？ | Mozilla Japan ブログ
[これは米国 Mozilla のブログ記事 What are Internet Cookies? の抄訳です] 今日はクッキーについてのお話です。甘くて、おいしい．．．ではなくて、インターネットの Cookie (クッキー) です。 Web サイトは、あなたの情報を PC 内にある Cookie というファイルに保存します。再び同じ Web サイトを訪れたとき、Cookie ファイルを読み込むことで、あなたのことを思い出すことができます。例えば、ある Web サイトへアクセスした時にその Web サイトがあなたのユーザ名やパスワードを知っているのは、Cookie によって実現されていることなのです。 Cookie の中には、あなたについて詳細な情報を保存しているものもあります。例えば、興味のあることや Web サイトの閲覧記録などです。Web サイトは、これらの情報を元にあなたの興味に合っ
Do Not Trackがデフォルトでオンではだめなのか？ - Mozilla Flux
どうにも腑に落ちないので覚え書きを残しておきたい。Mozilla Japanブログ『Do Not Track - 重要なのはユーザ本人の意思を伝えること』によれば、Do Not Track（以下DNT）について、「そのシグナルが、ソフトウェアメーカーではなく、実際に画面に向かっている人間によって行われた選択を表すことが重要」だという。そして、Mozillaは「ユーザの意思は分かりませんので、初期設定ではサーバに対して何もシグナルを送信しません」という立場を採用している。しかし、何もしないという不作為もまた一つの選択だ。ユーザーに積極的な選択をするよう求めるならば、平均的なユーザーにその選択ができるだけのリテラシーがあり、かつ判断材料となる情報が提供されていることが必要だろう。DNTに関して、そうした条件が満たされているとは思えない。 DNTは、ユーザーがオンライン上で行動追跡されるのを拒否
オンラインプライバシー勉強会-行動追跡の現状とブラウザ業界の動向-
【FKEYセミナー 20150205】「クラウドセキュリティで注意すべき５つのこと」 講師：山口 亮介 氏（ニフティ株式会社 エバンジェリスト）appliedelectronics
都道府県型JPドメインがCookieに及ぼす影響の調査
JPRSからのプレスリリース『JPRSが、地域に根ざした新たなドメイン名空間「都道府県型JPドメイン名」の新設を決定』や報道などで「都道府県型JPドメイン」というものが新設されることを知りました。 都道府県型JPドメインとは、現在活発に使われていない地域型ドメインを活性化する目的で、地域型ドメインの制約（ドメイン名が長い、一人・一団体あたり1つまで）を簡略化しようというもののようです。 しかし、現在の地域型ドメインは、ブラウザにとって処理がややこしいもので、IEなどは昔からまともに対応していません。このため、Cookie Monster Bugという脆弱性になっているという経緯があります。このルールをさらに複雑にすることになるということから、ブラウザセキュリティに関心の高い人たちが騒ぎ始めています。 そこで、高木浩光氏の日記「JPRSに対する都道府県型JPドメイン名新設に係る公開質問」の以
TechCrunch | Startup and Technology News
Byju’s is cutting 500 to 1,000 more jobs at the firm, this time eliminating several non-sales roles as well, as the Indian edtech giant pushes to improve its finances, according to a person fami While platforms like Reddit and Twitter are changing rules and making life difficult for developers of third-party clients, the ecosystem of Mastodon apps is still growing. Today, indie developer Jake
だいこんの日々 : FancyUpload
PHPでのファイルのアップロードは味気ない＆大きなファイルだと状況がわからないので、プログレスを表示しようと思い、FancyUploadというFlashを使ってみました。 まぁ、アップロードは確かにできるだがいろいろと問題が。 まず、認証が必要なページで認証を通過できなかった。詳しく調べるとCookieを送れていない。（後で気づいたが、FancyUploadのTips & Tricksにも書いてあった…。） どうやらFirefoxとFlashという組み合わせだとFileReferenceで正常にCookieが送れない。「正常に」と書いたのは、別のCookieを送っている節があるから。Windows版Firefox用FlashはIEコンポーネントを使用して通信しているみたいだ。ひどくないか、これは。 ってことで、Ethna_Sessionを継承して、Firefox＆Flashの時だけGETか
くじらはんどぶろぐ : Flashのファイルアップロードで Cookie が引き継がれない問題
Flashのファイルアップロード(Firefox)で Cookie が引き継がれない問題があります。 調べてみると、ほかにも困っている人がいるみたいです。 http://www.fxug.net/modules/xhnewbb/viewtopic.php?topic_id=821 これは、基本的に、Firefox を使っていても、ファイルのアップロードが、IE のエンジンを利用して アップロードをする特性によるもののようです。 ただ、Firefox の場合でも、 ファイルのアップロード(FileReference)以外の通信では、 Cookie が引き継がれます。 考えられる解決策は、以下の通り。面倒ですが、仕方ないですね。 IE 対応にする Flash起動フォームにCookieや認証情報をFlashVarsとして埋め込んでおく 認証用のAPIなどを用意してあげて、アップロードの直前にCo
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://github.com/xKerman/memorandum/blob/master/autopagerize_cookie_issue.md