危険？！UNIQLO のTwitter 連動イベント - Windows 2000 Blog

ユニクロ、26周年「誕生感謝祭」でTwitter連動型サイト公開:ニュース - CNET Japan と言うわけで、ユニクロでツイッター連動イベントやってるのですが、どうもやばそうなので調べてみました。 初心者向けに後半に 簡単な説明と分かりやすい例をあげておきます。 * 5/26 21:30 UNIQLO様から SSL対応を担当部署に依頼したのでお待ちくださいと回答いただきました。 * 5/28 結局対応に言及されなかったみたいなので、追加記事を書きました。 まずためしにUser test ID 12345で送信してみます。 本来出るはずの、こういう認証画面が出ない！ これがネットに流れるキャプチャデータです。クリックすると拡大できます。 どういうことかと言うと、http://uniqlo-happy-line.s2factory.co.jp/system/stand_in_line.p

[alguien]

httpsにしたって、S2factoryに生パスワードを送信している状況は変わらない。

[ku__ra__ge]

思ったけど手元でキャプチャデータ採るなら、httpのoauth認証画面からポストするときでも平文パスワードをキャプチャできない？／まあそこは問題の核心じゃないけど、一番インパクトのある画像がそれだったので。

[yasu-log]

Firebugで確認した際に、POST通信のパスワードがそのままの値で確認できるのは、銀行系サイトやまっとうなECサイトのログインフォームでも同じだと思うが(ただそれらはSSL通信)

[Rocco]

確かに・・・でも、Twitter もまだ Basic 認証できるわけだし。RT 危険？！UNIQLO のTwitter 連動イベント - Windows 2000 Blog

[yomogi]

結局SSLは騒ぎになってから、という。

[paschen00]

まずいPHPの実装っていうかパスワードをPOSTしてるのがまずいのよね。

[mtakeshidpostjp]

従来(TwitPicやゲームのように)のTwitter のIDとPasswordを使うサイトと違って、*3BASIC認証/OAuthすら経由せず、S2Factoryのサイトへ*4生のIDとパスワードを送ってから処理してるのが問題。

[gmaxlab]

"BASIC認証/OAuthすら経由せず、S2Factoryのサイトへ生のIDとパスワードを送ってから処理してるのが問題。"

[pega2s]

公式見解は漏れてないってことらしいけど、でもこれは……？

[matuken]

簡単に説明すると ・5/26 15:00の時点で個人情報が流出したわけではない。 ・非常にまずいPHPの実装をしたので、S2Factory内に悪意のある人がいれば、簡単にIDとパスワードを取得できる。 ・もしフォームの内容を記録していれ

[invent]

s2factory。。。

[keygen_Monica]

本件に対するUNIQLOからのプレスリリース出ました。　http://www.uniqlo.com/jp/corp/pressrelease/2010/05/052615_uq_web.html　/　ただ今回の件は平文でID/Passwordが流れた事と関連会社が断りなく絡んだ事にあるからなぁ