Tポイントツールバーを導入するとSSL通信の履歴までもが盗聴可能になる

twitterなどでTポイントツールバーの利用規約が話題になっています。このエントリでは、Tポイントツールバーを実際に導入して気づいた点を報告します。結論として、当該ツールバーを導入すると、利用者のアクセス履歴（SSL含む）が平文で送信され、盗聴可能な状態になります。 追記(2012/08/10 20:10) たくさんの方に読んでいただき、ありがとうございます。一部に誤解があるようですが、ツールバーが送信している内容はURLだけで、Cookieやレスポンスまでも送信しているわけではありません。URLを送信するだけでも、以下に示す危険性があるということです。 追記終わり 追記(2012/08/13 23:50) ポイントツールバーにバージョンアップがあり、WEB閲覧履歴の送信がSSL通信に変更されました。従って、WEB閲覧履歴が盗聴可能な状況は回避されました。本日22:50頃確認しました。

[abcb2]

高木先生、こっちです。

[zapperd]

Tポイントツールバーと暗号化無しなソフトバンクWi-Fiスポットを組み合わせると最強ダダ漏れ状態になるな

[n_shuyo]

そもそもhttpsは履歴取得対象外にすべきだった。

[TrinityT]

CCCは問題がある行動が多いなぁ。内部にセキュリティを警鐘する人材がいないんだろう。

[mumincacao]

規約には『当社により取得されることを・・・』ってあるのに履歴の送り先が別会社じゃないですかーやーだー（・ロ【みかん

[hanazukin]

絶対入れたくない。//” Tポイントツールバーは、利用者のア クセス履歴(URL)をログ収集サーバーに 送信しますが、(1)平文通信である、(2) 固有の利用番号がつく、ことがセキュ リティ上の問題となります ”

[TakamoriTarou]

広告屋は今Googleが検索をhttpsにしたり、Facebookなど囲い込むクローズドなサイトが増えたためターゲッティング広告やらマーケティングやらができなくなって焦ってるんだと思う。だからこんなクソみたいな真似をしてる

[himomen]

さすがTポイントカード、こんな会社に図書館運営なんてやらせるべきじゃないね

[hatayasan]

リアルと連動しているだけにJwordよりたちが悪い。

[K-Ono]

これはあかんのはまあ当然として、こういう設計で大丈夫っていう技術者とかこれをそのままリリースしても大丈夫だと判断されたってことの方があかんよなー。

[fatpapa]

永久不滅ツールバーも結構ギリギリだが、CCCは果たしてわかってやってるのかいないのか。法務とかチェックしないのか？上場廃止したから株主責任関係ないのか？一事が万事、武雄市民も大手だからまさかと安心せぬよう

[madtradejp]

１．平文通信。２．利用者固有番号がつく。

[nilab]

Tポイントツールバーを導入するとSSL通信の履歴までもが盗聴可能になる | 徳丸浩の日記

[boyasan]

わかりやすい

[burnworks]

『利用者のアクセス履歴を平文で送信することにより、Webサイトのセキュリティ強度を勝手に下げてしまう点は致命的であると考えます』

[myrmecoleon]

これはひどい

[richard_raw]

URLを平文で流されるのか……。

[Miyakey]

Windows IE だけだけど、要注意。漏れるのは閲覧したURL。QT:Tポイントツールバーを導入するとSSL通信の履歴までもが盗聴可能になる | 徳丸浩の日記

[monnalisasmile]

これは確かに不味すぎる

[yyamaguchi]

「とくに、利用者のアクセス履歴を平文で送信することにより、Webサイトのセキュリティ強度を勝手に下げてしまう点は致命的であると考えます。これが許容できる利用者は、ほとんどいないでしょう。」

[Chisei]

読んだ。とても分かりやすかった。

[shioki]

"Tポイントツールバーは、利用者のアクセス履歴(URL)をログ収集サーバーに送信しますが、(1)平文通信である、(2)固有の利用番号がつく、ことがセキュリティ上の問題となります"

[gurutakezawa]

つまりブラウザ拡張が必然的に持たざるを得ない穴と信用をうまく利用して情報を得ると同時に（これ自体の良し悪しも問題ではあるがそれとは別に）、やらかしてもいるってとこか。

[k-takahashi]

『利用者のアクセス履歴を平文で送信することにより、Webサイトのセキュリティ強度を勝手に下げてしまう点は致命的』　『Tポイントツールバーには、URLを送信する必然性はありません』

[esper]

どこが作ってるんだろうなー（棒）

[tiadeen2]

ブラウザーの拡張だとこういうのがあるから怖いナー。「URLの平文送信の影響」ではセッションをCookieに保存して使っていれば大丈夫そうだけど、SSLだからって手を抜いた設計してるとヤバいこともあるのね。

[junta1999]

気をつけてねぇ〜

[smbd]

利用規約すごいな

[moomindani]

閲覧履歴を平文で送信される恐怖。結論では小気味いいくらいザックリ斬ってます。

[fake-jizo]

via Pocket

[muromi]

入れたらアウト

[oooooooo]

ポスト jword

[Nean]

なんだかなぁ。

[tsupo]

「当該ツールバーを導入すると、利用者のアクセス履歴(SSL含む)が平文で送信され、盗聴可能な状態になる」

[TsutomuOnoda]

Tポイントツールバーを導入するとSSL通信の履歴までもが盗聴可能になる | 徳丸浩の日記

[raitu]

URL情報のみとはいえ

[hitoriyokozuna]

粗悪品じゃあないですか,,,,

[houyhnhm]

発案するのもアホだと思うよ。

[jabberokkie]

平野文を思い出したので良い記事だった（＾ω＾）

[Santamaria_morishi]

ツールバー入れるとろくな事にならない