えび日記: CSRFの説明に追記 - こめんと (2006-03-30)

■ [Security] えび日記: CSRFの説明に追記 (4/2、この項に別記事で追記。) ええと、この議論はずっと続いていますね。こういう時間かかる話はできれば年度明けてからやろうよ（笑）。 ※ちなみに「CSSXSS」と呼ばれている問題の本質は「クロスドメインで任意の HTML の内容が読み取れてしまう」という点です。これは XSS とはあまり関係ありませんし、ある意味 XSS よりも危険です。その呼称は誤解を招くと個人的には思っています。 (「えび日記」より引用) この脆弱性の存在を根拠に「いわゆる高木方式は良くない、安全な他の方式にすべきである」という議論がよくあります。 いつも反論してるのですが、割と議論が噛み合わないのは、ひょっとしたら僕が「いや、高木方式で安全なんだ」と 主張しているように思われているのかなぁ、とふと感じました。 実はそうじゃないんですよね。僕の主張は、「い

[itochan]

＞僕の主張は、「いや、その状態ならパスワード毎回入力以外はどんな対策をやったって無駄だ」

[kkmym]

CSRF

[godaxp]

CSRF対策についての「正しい」対応策でモメ中

[nilab]

えび日記: CSRFの説明に追記 - こめんと (2006-03-30)

[tsupo]

http://www.oiwa.jp/~yutaka/tdiary/20060402.html#p01 の前振り

[kits]

「えび日記」の記事だと見誤りそうになったのでタイトルにサイト名を追加しました。 / 高木方式: セションIDをhiddenフィールドに含める対策。http://takagi-hiromitsu.jp/diary/20050427.html#p01

[donayama]

結局、ブラウザの脆弱性がある限り「パスワード毎回入力以外はどんな対策をやったって無駄」？