X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記

2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に

[hasegawayosuke]

IE8って追記しといた。

[kazuhooku]

(IEが) 死ねばいいのに！

[side_tana]

参考になる

[mickn]

@k_matsuzaki この系の話ですか。死にそう http://t.co/EuB3ejikhL

[chanpon0]

Content-Type-Options: nosniff について。ふむー。

[suinyeze]

nosniff

[ya--mada]

とにかく全部にいれチャイナ

[ttskch]

勉強になる・・・

[HHR]

ieでxssの危険

[tksmd]

IE8 で Content-Type の sniff を抑制する、X-Content-Type-Options: nosniff についての説明。ムズイ。

[stolpnik]

なるほろ

[kabiy]

IE滅べ / X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記

[sora_h]

IE滅べ

[tarchan]

IEの息の根が止まるのはまだか

[kenichiice]

「IE8以降ではHTML以外のものがHTML扱いされてXSSが発生する、ということはなくなります」

[ardarim]

IEがこの世から消滅しない限り、未来永劫IEの尻拭いをさせられそうだな。諸悪の根源ェ…

[comogly]

あらゆるコンテンツのレスポンスヘッダに X-Content-Type-Options: nosniff を付与する

[honeybe]

へー

[drumsco]

IE8以降に限る。

[youhey]

IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合には、とにかくあらゆるコンテンツのレスポンスヘッダに X-Content-Type-Options: nosniff を付与するようにし

[komorih]

IE を相手にするには X- で始まるレスポンスヘッダに頼らないといけないのか…

[s-aska]

+IE7以前サポートしない or 別ドメインといった所でしょうか http://twitter.com/hasegawayosuke/status/23294991031861248

[hiroyukim]

しねばいいｗ

[windyakin]

Content-typeを素直に受け入れないIEが悪いのに死ねとまで言われるのか

[stealthinu]

nosniffオプション付けるようにするとIE8以降でIEの余計なファイルタイプ推測が起こらなくなり、それに起因するセキュリティ上の問題も無くすことが出来る。

[mumincacao]

せきゅりてぃ設定の『拡張子ではなく，内容によってふぁいるを開く』のおはなしだっけ？ これいんたーねっと領域だけでもでふぉると OFF にするには大人の事情とかそんなおはなしなのかなぁ？（・【みかん

[raitu]

「IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまう/動的にコンテンツを生成している場合には、とにかくあらゆるコンテンツのレスポンスヘッダに X-Content-Type-Options: nosniff を付与するようにしましょう。」

[willnet]

IEはcontent-typeヘッダだけじゃなくてファイルの中身をみる／x-content-type-options:nosniffとするとファイルの中身を見るのをやめさせられる／でもIE8以降

[cnomiya]

つける！

[zetamatta]

曰く『あらゆるコンテンツのレスポンスヘッダに X-Content-Type-Options: nosniff を付与するようにしましょう』

[nilab]

「IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします」X-Content-Type-Options: nosniff つかわないやつ

[seiunsky]

IEの自動でファイルタイプを判定するのをとめる