mixiの脆弱性報告制度について - Shira's blog
mixiが2013年9月31日からはじめた脆弱性報告制度を利用し、いくつかの脆弱性の報告を行ったので、その結果とミクシィセキュリティチームの対応について記載しようと思う。 脆弱性報告制度 https://developer.mixi.co.jp/inquiry/security/ 1. 報告内容と報酬について 対象・脆弱性・報酬を表にまとめてみた。 対象脆弱性報酬 Find Job! XSS 12.5万円 Open Redirect （なし） mixi Open Redirect / OpenID漏えい 6万円 mixi research SQL (ログイン) 50万円 SQL (ログイン(Ciao)) SQL (検索) SQL (検索(Ciao)) SQL (パスワードリマインダ) 他人のデータの閲覧・改ざん （なし） 他人のデータの閲覧 （なし） XSS 12.5万円 XSS XSS
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
mixi「メアドでユーザー検索」取り下げ 反発受け3日で見直し
mixiは、批判が多かった「メアドでユーザー検索」機能を3日で取り下げた。ネットでは、同機能を悪用したという報告もあった。 ミクシィは12月2日、SNS「mixi」に11月30日に追加した、メールアドレスからユーザーを検索し、マイページにアクセスできる機能を取り下げた。同機能については、「メアドを知らせているがmixiでつながりたくない相手にプロフィールなどを見られると困る」など、批判や困惑の声が上がっていた。 mixiでは従来、検索したメアドでmixiに登録しているユーザーがいればマイミク申請でき、いない場合は招待メールを送れる機能を実装していたが、11月30日から、メアドから相手のマイページにもアクセスできるよう仕様変更していた。ユーザーは、自分を検索対象から外すことは可能だが、初期設定のままだと検索可能になっていた。 この変更についてネットでは、「メアドを知らせているがmixiでつな
はてなブログ | 無料ブログを作成しよう
今をもっと野蛮な世界にしていく 未来から見たら、現在はずいぶん野蛮な世界に見えているのだろう。現代から中世・近世を見ると（怖すぎる）（生きていけない）と感じるのと同じなのだと思う。「野蛮」は、「そういう世界が存在する（した）のは理解できるが、この世界を知った上でそっちの世界に行く…
mixi Developer Center (ミクシィ デベロッパーセンター) » 署名付きリクエストで使用する公開鍵の更新について
mixiアプリPC版では、外部サーバと通信を行うためのgadgets.io.makeRequest()関数を使用する際に、リクエストに署名を付与することができます。この署名付きリクエストを利用することにより、リクエスト内容の改ざんを検知することができ、さらにmixi側で自動的に付与されるViewerのIDなどの情報を確実に外部サーバに伝えることが可能となります。 署名付きリクエスト – mixi Developer Center http://developer.mixi.co.jp/appli/pc/lets_enjoy_making_mixiapp/require_servers#toc-2 署名の検証には、mixi Developer Centerにて掲載されている公開鍵を使用することになりますが、今まで使用してきた鍵の有効期限が、2010年4月28日16時2分15秒までとなります
高木浩光＠自宅の日記 - 日本の携帯電話はいつになったらアドレスバーを付けてくれるの？
■ docomo IDを作ると生でパスワードを保管されてしまう docomo IDについて, NTTドコモ My docomo-新規登録：ご登録前の準備, NTTドコモ docomo IDを作ると初期パスワードが発行されるが、これは各自、愛用のパスワードに変更して使えるようになっている。それなのに、「ID／パスワードをお忘れの方」の説明を見ると、パスワードを忘れたときは、携帯電話で現在のパスワードを閲覧できるのだという。 これはないわ。パスワードは照合さえできればよいのであって、不可逆変換して持っておけば十分。生で持つ*1必然性がない。パスワード忘れの場合は、再発行すれば済むこと。特にここの場合、登録時と同様に、初期パスワードを生成して画面に出せばよいのであって、何ら不都合がない。 弊社サービスではパスワードを平文で保存していますが何か, AnonymousDiary, 2010年1月2日
mixiアプリ運営元サーバに改ざん 350万人利用の「マイミク通信簿」など停止
「マイミク通信簿」（約350万ユーザー）などmixiアプリを開発するソーシャルアプリ専業ベンチャー「空飛ぶ」（東京都港区）が、2月25日夜からすべてのmixiアプリの運用を停止している。開発用サーバなどで第三者による改ざんが判明したためで、会社の公式サイトも閉鎖している。 空飛ぶは、マイミク通信簿のほか、名言を表示する「今日の名言」（約40万ユーザー）、好きなものベスト3を表示する「マイベスト3」（約36万ユーザー）、YouTube動画をマイミクと共有する「マイミクYoutube」（約12万ユーザー）など約15のアプリを運用している。 ミクシィによると、空飛ぶが運用するアプリの異常を指摘する問い合わせがユーザーからミクシィに届き、ミクシィから空飛ぶに連絡、25日夜に全アプリの運用を停止したという。 mixi上の空飛ぶのプロフィールページによると、「開発作業用サーバなどの一部が第三者によって
mixiアプリの件、その後の顛末 | Yoshino Inamoriの日記 | スラド
１つ前の日記の続きです。 mixiに連絡したところ、やや時間がかかりましたが問題のアプリは除去されたそうです。 ただ、 ・アプリ開発者は開発中のアプリを自分のページに貼れる ・アプリからは外部ファイルにかなり自由にホスティングできる（ガンブラーだろうが何だろうが） ・アプリを通報するにはアプリのユーザーになるしかない為、開発途中のアプリは通報できない という問題点がはっきりした気がします。これ、どうなのでしょうね。 /.Jでは外部からの画像を埋め込んだりできませんし、（ユーザー設定によりますが）リンク等は確認ページが挟まれます。いわゆる「２ｃｈ」等の掲示板でも最近はそういった仕様のものが一般的です。 それに対して、審査がない（デベロッパー登録を自動で行うだけ）のｍｉｘｉの場合、少なくとも自分のページにアプリを貼ることは自由にできるわけで、外部からのデータをかなりの自由度でホスティングできる
サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話
「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し
mixiは一刻も早くサンシャイン牧場のクレジットカード脆弱性についての危険性を発表すべき - やまもといちろうBLOG（ブログ）
一部対策されているようだけれど、まだできちゃうようなので…。 セッションIDからぶっこ抜ける状況は続いておるようにも見えるのと、対策がちと杜撰で穴が塞がってないようなので、老婆心ながら再度通報と本件エントリーをば。 悪用も考えられるので、方法は書かない。でもマジに危険すぎる。早期にきちんと対策されることを祈ります。
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
mixiアプリが危険な件、幾つか追記。 | day by day
「mixiアプリ」という脆弱性 | day by day
『mixiアプリ』という脆弱性 | Yoshino Inamoriの日記 | スラド
ssig33 on Twitter: "セッション ID が永続化されてる問題も管理腐ってる問題も直ってたぞ"
ssig33 on Twitter: "マイミクリストの機能経由で他人の ID 拾えるのは直ってないっぽいけど、他直ってるから問題ないと思う"
http://twitter.com/ssig33/statuses/5111706038
http://twitter.com/kurage/status/5071447637
http://twitter.com/kurage/status/5141159634
http://twitter.com/kurage/status/5092462614