高木浩光＠自宅の日記 - 共用SSLサーバの危険性が理解されていない

■ 共用SSLサーバの危険性が理解されていない さくらインターネットの公式FAQに次の記述があるのに気づいた。 [000735]共有SSLの利用を考えていますが、注意すべき事項はありますか？, さくらインターネット よくある質問（FAQ）, 2010年2月10日更新（初出日不明） Cookieは、パスなどを指定することができるため、初期ドメイン以外では共有SSLを利用している場合にCookieのパスを正しく指定しないと、同じサーバの他ユーザに盗まれる可能性があります。 （略） 上記については、「同サーバを利用しているユーザだけがCookieをのぞき見ることができる」というごく限定的な影響を示していています。また、Cookieの取扱いについて、問い合わせフォームやショッピングカート等、ビジネス向けのウェブコンテンツを設置されていなければ特に大きな問題とはなりませんが、個人情報を取り扱われる管

[aipacommander]

φ(..)メモメモ

[hirorock]

共有SSLの危険性…iframeで取得ができるのか！なるほどだから最近のはサブドメインなのか！

[babomura]

共有SSLの危険性について。

[oppara]

高木浩光＠自宅の日記 - 共用SSLサーバの危険性が理解されていない

[monoooki]

使うなら独自SSLか。けちっちゃダメね。

[Cald]

ホストでわけた共用型SSLサービスは難しいのか。ワイルドカード型の証明書使えばいいと。

[sihou1]

共用SSLについての危険性

[rockstyle]

さくらインターネット

[willnet]

cookieのpathはセキュリティ上何の効果もない

[kazuhooku]

「Webセキュリティの基本で、same-origin policyの「origin」はホスト名で区分されるもの」

[kmachu]

「サーバ証明書を一枚で済ませたいならワイルドカード型の証明書を使えばよい」「same-origin policyの「origin」はホスト名で区分されるものであって、パス名では区分されない」

[hogem]

cookieの話

[drumsco]

cookie のコンテキストパスはセキュリティー的な効果は期待できないらしい

[superrush4x]

共有SSLでSet-Cookieに「path=」指定しても、XSS＋iframe等で取得可能。

[mitsuki_engawa]

「same-origin policyの『origin』はホスト名で区分される*5ものであって、パス名では区分されない」

[tsupo]

Webセキュリティの基本で、same-origin policyの「origin」はホスト名で区分されるものであって、パス名では区分されない / さくらインターネットの場合、「初期ドメイン」方式へ移行するよう利用者に呼びかけるべき

[JORG]

経路が暗号化されるだけという無意味な事に一定のニーズが存在してしまっているつー事だと思ってる。この場合での危険性の意味は、安全でない事に安全だと思ってしまう事か。さくらは分かってるけど不誠実ってことか

[t-tanaka]

「Set-Cookie: における「path=...」指定は、じつはセキュリティ上何の効果もない」 ・・・。しらんかった。つくづく思うが，<IFRAME>ってセキュリティ問題の巣窟だなあ。

[kokogiko]

ほええ。なるほど。

[mkoji530]

iphone

[itochan]

＞*1 このような不正直な表現をする事業者を信頼できるだろうか。　　勉強大事

[kaoru_s]

なるほど。しかしGW中も休まず高木先生はすごいなあ。

[doumoto]

で、どうしたらいいんだろうか。貧乏人は共用SSLしか使えないし。(´ー`)y-~~｡

[tach_ymn]

cookieのパス指定が無意味な件。＋ホスト名で利用者を分けている共有SSLでさらに問題が発生。

[terazzo]

なるほどリクエスト上のCookieの送信だけパスで制限しても意味ないのか。／逆にSet-Cookieされることも想定するべき(Session Fixaiton対策とか)か。こっちはパスすら関係ないし。

[TakamoriTarou]

むむむ…。これは…。共有SSLは通常のSSLと同じと考えてはいけないと言うことか。うーむ。正直実戦経験がないのでよく理解しきれないが、実験してみたい。

[MinazukiBakera]

cookieのpath指定が無意味な件。例の件に関して、Cookieにパス指定をしても駄目だという話でもありますね。

[kogawam]

今そこにある危機ということですな

[zorio]

「これはWebセキュリティの基本で、same-origin policyの「origin」はホスト名で区分される*5ものであって、パス名では区分されないことを忘れてはいけない。」

[juner]

必読。QT:共用SSLサーバの危険性が理解されていない