高木浩光＠自宅の日記 - 旧はてなブックマークで社内情報が漏洩していた可能性

■ 旧はてなブックマークで社内情報が漏洩していた可能性 昨年11月上旬に、はてなブックマークでプライベートアドレスが登録されていることが話題になっていた。 はてなブックマーク - はてなブックマーク - http://192.168. たとえば次などがそれだ。 http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.1/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.2/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.3/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.4/ http://b.

[at_yasu]

あー、やっぱ登録する人いるのか。

[fk_2000]

はてなカウンターのほうが残らないか？

[tsupo]

類似例としては、誤って Gyazo にスクリーンショットをアップロードしてしまう事例もあったような。社外にも公開されてるかのようなページなのに、実は社内限定アクセスなページとかもあるかもしれず。罠に注意

[Chaborin]

「うちの研究所や大学のようなところでは、機密に該当する情報を扱うことは少ないだろうからいいにしても」そんなことないはずと言いつつも具体例は出せない。

[shutaro]

単に利用者側の問題だと思うけど。

[denken]

「営業機密にあたる情報をタイトルに含み得る企業では、死活問題になるケースもあるのではないか。」

[k2low]

Tomblooも誤操作一つでポンがあるんだよね。

[diary193]

SBMも使い方次第で情報漏洩につながると

[boyasan]

起こったことに誰も気づかない環境にいます

[nilab]

高木浩光＠自宅の日記 - 旧はてなブックマークで社内情報が漏洩していた可能性 : ブックマークレットでページのタイトルを取得->はてブに登録。タイトルに秘密の言葉があるとイクナイ

[bk246]

信じられん。いや、ウチの会社でもあるかも。こんなんで会社からhatena.ne.jpにアクセス制限かけられたら困るな

[kgbu]

存在自体が機密なURLのrefererが漏れるのは厳しいと思っていたが、こういうケースも増えてくるだろうな。bookmarkletをspyware扱いして、いちいち検査するのも可能かもだが、NGワードの更新は漏れが出る可能性大。

[kkamegawa]

まず社内と社外を完全に別のドメイン名…hoge-internal-only.localとかにするといいと思うんだけど、日本ではあまりやらないのかな。こんなの。http://ascii24.com/news/i/topi/article/2006/09/21/print/664704.html

[ryshinoz]

proxyでリファラ削除

[ardarim]

イントラをはてブとか唖然だな…。いや今後はイントラ/インターの境界が曖昧になっていくのか？ リファラはゲートウェイかプロキシで社内からの社外向けは削除してしまうとか対策ができるのかも。

[whirl]

なんか色々アレ

[hurvinek]

localhost とかもブクマできてあせった事がある．これくらいはてな側で制御してもよさそうだが．．

[ka-wara]

情報＝ドキュメントのタイトルが公開される件

[anhelo]

旧版はてなブックマークレットでプライベート設定のページをブックマークするとキャッシュ、題名、そのurlが公開されてしまう

[deep-sound]

rfcは知らんが、イントラのドメイン名は.localにしたらいいんじゃないの？

[totttte]

タイトル云々じゃなくて、社内ページをはてブするってこと自体がもう（ｒｙ

[makou]

イントラかそうでないかすらわからない人もいるだろうしなあ。

[m_yanagisawa]

そもそもこれが問題だって思う人はブクマしないだろうな。だからこそはてなには対策してほしいな＞「はてなからはアナウンスがないので、まだこの事態を知らない企業もあるのではないか。」

[ono_matope]

本筋とは関係ないけど、リファラ漏洩はしょうがないか。一応社内ではSBMカウンタとか外してるけど。

[ultraist]

変更されてるからいまさら自動では取り直せないだろうけど。ブクマタイトルは全ユーザ共有の情報だとしながら登録ユーザのセッション状態やネットワークに依存した情報を既定値にしてたのがセキュリティ上の問題に

[cubed-l]

(追)Livedoor Clipにも似た問題があるな。プライベートモードの人だけがブックマークしたURLは見せられないようにしないと／公開してる人の分は対処難しいだろうな

[F-SQUARE]

「これは、はてなのブックマークレットがタイトルを送信するのが不適切だ」/そこまでされたらJavascript自体不適切ですが

[nilnil]

「うちの研究所や大学のようなところでは、機密に該当する情報を扱うことは少ないだろうから」<研究職でも産学官共同研究とか特許等の知材権関係を機密とする可能性があるが、この文脈の範囲なら影響は少ないか。

[abc1cba]

ブックマークレットこわい

[otsune]

「旧はてブbookmarkletで社内からはてブ禁止された」と書いていた人が居たのはこれの通達があったのかな