セッションIDのみの認証はセキュリティレベルが低いのか - 岩本隆史の日記帳（アーカイブ）
はてなブックマークモバイル版の脆弱性 昨日、はてなブックマークモバイル版の脆弱性に関する報告が公開されました。 「はてなブックマーク モバイル版」の脆弱性を利用した不正アクセスに関するご報告 - はてなブックマーク日記 - 機能変更、お知らせなど キャッシュ機構の不備により、セッションID付きのURLを含むコンテンツページがキャッシュされてしまい、悪意のあるユーザが他人になりすます（セッションハイジャック）ことができたというものです。 セッションIDのみの認証なんてありえない？ 報告記事に対する下記のブックマークコメントを目にしたとき、私は違和感を覚えました。 セッションIDのみの認証なんてありえない。そもそもセッションIDは認証に使うべきではない。せめて各種完了処理のときくらいはUID(NULLGWDOCOMO)もしくはFOMAカードor端末の製造番号(icc〜、ser〜)を使って認証し
twitter の OAuth で思ったより豪快に認可してしまっている件 - 知らないけどきっとそう。
忘れたころに追記 API で _twitter_sess は発行されているようですが、web の UI にアクセスはできなくなったみたいです（つまり豪快さは解消されてます） OAuth コンシューマが twitter API にアクセスすると、ブラウザでログインしたときと同様のセッションクッキーが発行されている模様です GET https://twitter.com/account/verify_credentials.xml Authorization: OAuth realm="", oauth_consumer_key="***", oauth_nonce="***", oauth_signature="***", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1253358338", oauth_token="***",
i-mode端末にクッキー - Kimura.Memo
COOKIEを送らないことで有名なi-mode端末の最新機種がCOOKIEを送っていることがわかった。 現時点でCOOKIEを送ってくることを確認している端末は以下の通り。 いずれもIPアドレス帯域は、210.153.84.**で、iモードセンタのIPアドレス帯域内のもの。 DoCoMo/2.0 P07A(c500;TB;W24H15) ※ちなみに送られてきたHTTP環境変数は以下の通り。 HTTP_COOKIE HTTP_HOST HTTP_REFERER HTTP_USER_AGENT HTTP_X_DCMGUID 【関連記事】 i-mode端末にリファラ（2009-04-28） 【2009/05/20 追記】 ドコモ公式発表 - ｉモードブラウザ2.0
そろそろクリックジャッキングについて一言いっておくか - 最速転職研究会
Firefox3で「サードパーティのCookieも保存する」をオフにする。 防げる。 いずれのブラウザにもサードパーティ製のcookieを制限するオプションがあるが、Firefox3以外だと、フレーム内表示された場合に「新規にcookieを保存しない」だけで保存済みのcookieは送信してしまう。 軽く調べてみたところ、次のようになった。(間違ってたら教えてください) サードパーティのcookieの新規保存 サードパーティの保存済みcookieの送信 表示中のドメインのcookieの保存/送信 IE6,7,8(デフォルト) x o o IE6,7,8(セキュリティ高) x x x Opera9.6(デフォルト) o o o Opera9.6(制限) x △ o Safari(制限/デフォルト) x o o Safari(全て受け入れる) o o o Firefox2(デフォルト) o o
livedoorのad4U、拒否できるのは「1ヶ月」だけ - xenoma日記
今は 1 年に延びた模様です（末尾に関連エントリ）。 昨日は楽天ad4Uについていろいろ書いたんですが、今回はライブドアのad4Uについて。ライブドアもドリコム式行動ターゲティング広告「ad4U」を利用しているサイトだ。サイトの訪問履歴を基準に広告を出してくるというのは当然一緒だから、今さら書くことなし。でも、拒否に対する姿勢に違いがあるので、それについて書く。 livedoorのad4Uを拒否する方法 楽天のad4Uを拒否する方法は前回のエントリをご覧ください。ざっくり言えばこんな感じです。 所定のページで拒否する意思を示す (楽天の)ad4Uを無効にするcookieが渡される 有効期限は1年 ただし、NGUserIDなる（おそらく重複なしの）識別用IDも同時に渡される livedoorの場合も所定のページで拒否の意思を示せばOK。下記から設定できる。 株式会社ドリコムの行動ターゲティン
ここギコ！: 携帯電話のCookie周りについて
Posted by nene2001 at 14:55 / Tag(Edit): mobile cookie session / 0 Comments: Post / View / 0 TrackBack / Google Maps 携帯電話のCookie周りについて考えてたら、色々まとまらなくなったので、タイトルあいまいで全部ここに書く。 恥ずかしながら携帯Cookie初心者です。 なので、それおかしいよ、とか、或いはとっくに常識だよ、的なこと書くかもしれませんが、ご容赦のほど。 取っ掛かり：DoCoMoのiモードIDについて これまで、DoCoMoがCookie使えないのを理由として、かつキャリア毎に大きく認証処理変えてたら開発が煩雑だよね、という理由で、3キャリア携帯の端末や個人識別IDをログイン手段として用いて、WILLCOMとか識別IDを出さない仕様の方を、Co
Firefox、クッキー送信の挙動 - FAX
JavaScriptFirefox 3の[オプション]、[プライバシー]-[サードパーティのクッキーも保存する]のチェックを外すと、クッキーの取り扱いがかなり厳しくなるみたい。 Mozilla L10N - サードパーティのCookie まず関係ないサイトのCookieの保存と送信を行わなくなる。それ以外に特権を持つスクリプトからクロスサイトで通信を行った場合、例えばリファラが空になるような通信もクッキーを送信しなくなる。これはGM_xmlhttpRequestなども含まれる。 バグなのかな。けど、セキュリティ的にはちょっと安心になるな。 追記たぶん、about:configのnetwork.cookie.cookieBehaviorの設定値が[サードパーティのクッキーも保存する]に相当し、これはFirefox 2でも設定できる。けど、Firefox 3とは違って、クッキーの送信はできるみ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.machu.jp/posts/20080101/p01/
サービス終了のお知らせ
http://www.machu.jp/posts/20080917/p01/
CodeRepos::Share – Trac