HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
ブラウザでストレージ？ Web Storageを使いこなそう
連載目次 ■Web Storageの概要と活用例 旧来（＝HTML 4.1以前）のWebブラウザでは、eコマース・サイトのカート情報やログイン状態の管理情報などのデータをブラウザに保存する仕組みとして、大半のWebサイトではクッキーを利用していた。しかし、クッキーでは、保存容量が4KBytesまでであることや、すべてのリクエストに対してサーバにデータを自動で送信するため、容量制限やセキュリティ対策に悩まされることも多くあった。 HTML5では、クッキーに代わるデータ保存の仕組みとして、「Web Storage」と呼ばれる機能を利用できる。Web Storageは、ブラウザ側でKey-Value型でデータを保存する機能のことで、現在のインターネットを取り囲む環境に対応した「クッキーの後継技術」ともいえる。 Web Storageとクッキーの機能の差異は、以下の表のとおりだ。
Mozilla Re-Mix: Firefoxのクッキーフィルタウィンドウに検索機能を付与できるアドオン「CookieExFilter」
Firefoxでは、クッキー受け入れに関するパーミッションをサイトごとに指定することができます。 こうして設定した内容は、オプション設定→プライバシー→例外サイトから[Cookie フィルタ]を開くことで、内容を確認したり新規サイトを追加したりすることができるようになっています。 しかし、ここではすべてを表示してそのパーミッションが確認できたり削除できたりする程度のことしかできません。 このCookie フィルタから登録されているサイトを絞り込んだり、パーミッションを変更することができればちょっと便利ですね。 Firefoxにそんな機能を与えてくれるアドオンが「CookieExFilter」です。 「CookieExFilter」は、Firefoxの[Cookie フィルタ]に検索機能とパーミッション変更機能を与えてくれるというものです。 アドオンをインストール後、[Cookie フィルタ
Mozilla Re-Mix: ステータスバーでproxy/javascript/cookieのON・OFFができるFirefoxアドオン「QuickToggles」
FirefoxでクッキーやjavascriptのON・OFFを行うには、オプションを開いて各項目を設定しなければなりません。 このような操作は必要時にすぐ行いたいものですが、面倒な上、一時的な処置として設定したいような場合はまた元に戻すのに同じ作業を行わなくてはなりません。 ずっとON、ずっとOFFにしておくのならともかく、頻繁に設定を切り替えることが多い場合これでは効率が悪いですね。 Firefoxに「QuickToggles」というアドオンをインストールしておけば、ステータスバーからこれらの機能の有効・無効を必要に応じて簡単に切り替えることができます。 「QuickToggles」は、ステータスバーに設置された専用のボタンをクリックするだけで、proxy、javascript、cookieの有効無効を素早く切り替えることができるというアドオンです。 アドオンをインストールすると、ステー
Mozilla Re-Mix: Firefoxのページ情報に「クッキー」表示ボタンを追加できるアドオン「View Cookies」
FirefoxやThunderbirdはWEBユーザーの必須アイテム。 初心者からヘビーユーザーまで使える！便利でクールなFirefox拡張機能（アドオン）の使い方やカスタマイズ、Mozilla関連情報をどうぞ。 Adobe 「Flash Player」を緊急アップデート。 by hoge (07/16) Adobe 「Flash Player」を緊急アップデート。 by H.I. (07/16) ウェブページから余計なコンテンツを排除して読みやすく表示できるFirefoxアドオン「Tranquility Reader」 by しんちゃん (07/11) YouTubeのHTML5動画に表示される広告をブロックしてくれるFirefoxアドオン「YouTube Advertisement Blocker」 by はち (06/17) ウェブページ上の不要なリンクを非表示にできるFirefox
ブラウザクッキーはもう古い!?これからはFlashクッキーの時代なのか？ | ライフハッカー・ジャパン
通常のブラウザでクッキーをブロックしているユーザのトラッキングを行うために有名サイトの半分以上はFlashを使っている、ということがWiredの調査によって明らかになりました！ 実際の調査を行ったのはUC Berkeleyの研究所なのですが、Flashを使っているこれらの有名サイトのうち、Flashクッキーについてプライバシーポリシーに明記しているのはわずか４サイトのみだったとのこと。 これまで使われてきたブラウザクッキーと異なり、Flashクッキーというのはあまりウェブユーザには知られておらず、ブラウザのクッキープライバシーコントロールからでは設定されません。つまり、ユーザ側ではトラッキングオブジェクト対策は万全だと思っていても、そうでない場合の方が多い、ということになります。 過去にも米lifehackerではこれらの「スーパークッキー」対策を取り上げて来ました。Wired側でもCCl
Apache TomcatとHTTPクッキーにまつわる騒動 - GeekFactory
Apache Tomcat 5.5.26（6.0.16も同じ）で、HTTPクッキーの取り扱いについて大きな仕様変更が行われました。ここでは仕様変更の内容と影響範囲を考察します。 HTTPクッキー 簡単に復習しましょう。WebブラウザがWebサーバから以下のHTTPヘッダを受信したとき、Webブラウザは test というクッキーを記憶します。 Set-Cookie: test=nullpo; Expires=Wed, 08-Oct-2008 14:03:16 GMT; Path=/クッキーは NAME=VALUE という形で表現されます。連想配列と同じ。 NAME VALUE test nullpo 一度クッキーを受信すると、ブラウザは当該URLにアクセスする度に、以下のHTTPヘッダを送信するようになります。 Cookie: test=nullpoこのように、クッキーはWebサーバがブラウ
ブラウザのローカルストレージ - ヽ( ・∀・)ノくまくまー(2007-04-16)
● 結論 ├→ Flash9 はもう標準だよ派 (Macromedia工作員) │ └→ storage.js (or Dojo) └→ 顧客を逃がしたくないよ派 ├→僕の想定する顧客はIEのみだよ派 (保守本流) │ └→ UserData ├→ブラウザはIEだよ派 (ゲイツ原理主義) │ ├→ UserData │ └→ でも自分だけは開発にFirefox2を使うよ派 (ユダ) │ └→ rakuto式ストレージ ├→世の中はIEとFirefox2で95%だよ派 (希望的現実主義) │ └→rakuto式ストレージ └→その他 ├→ まだFirefox1のままだよ派 (メンド教) ├→ 俺マカーだよ派 (サファリパーカー) ├→ なんでみんなOpera使わないの派（ドンマイ！） └→ w3m だから JavaScript 動かないだよね！とか言ってｗ (舞美) └→で
Googleなど大手サイトのcookie転送に問題発覚、認証かわされる恐れ
Google、Microsoft、Yahoo!などの大手サイトに脆弱性が発覚。「サービスとしてのソフトウェア」を提供しているサイトは特に危険だという。 Google、Microsoft、Yahoo!など大手各社のWebサイトに、ユーザー認証をかわされてしまう脆弱性があることが分かり、US-CERTがアドバイザリーを公開した。 それによると、cookieを使って認証を行っているWebサービスの中には、最初にユーザーネームとパスワードを入力してログインするときには暗号化されたhttpsセッションで認証用cookieを設定していても、セッション全体が暗号化されておらず、その後そのcookieをhttpで転送しているサイトがある。 こうしたサイトでは、ネットワークパス上の攻撃者がcookieを含んだトラフィックを傍受して、正規ユーザーを装うことができてしまう可能性がある。 ログイン時にhttpsを
IEのCookieの上限数が20から50に増えているらしい: ある SE のつぶやき
Update to Internet Explorer's Cookie Jar(IEBlog) via Ajaxian 2007年8月のWindows Updateで、IEの１ドメイン当たりのCookieの上限が20個から50個に増えているようです。Microsoftから日本語の情報も出ていました。 Internet Explorer で、ドメインあたりの Cookie の数の制限が 20 から 50 に増加する 但し、Cookieの上限数が変わっても以下の部分は変わらない模様。 document.cookie プロパティで取得できるのは、クライアント コンピュータ上の Cookie の 4,096 バイトのみです。Cookie の文字列が 4,096 バイトよりも長い場合、プロパティは空の文字列を返します。 Internet Explorer および HTTP Wininet API
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IE and Microsoft Edge FAQ for IT Pros