アカウント名:
パスワード:
Google、Androidアプリの情報流出問題で対応を表明 [itmedia.co.jp]によると、「本日(5月18日)からフィックスの提供を開始する。ユーザー側で操作する必要はない。フィックスは今後数日かけて各国でリリースする」とのこと。
これって、要するに各種アプリがhttpsではなくhttpでログイン認証他をやってるから、WiFi等でパケットモニタすれば中身が見られてしまうよって話だよね。androidに限らず、WiFiスポットでノートPCやスマートフォンで接続してhttpのままログインしていれば普通に起きる話じゃないの?
ログイン認証をhttpでやっているのではなく、セッショントークンをhttpで流す局面が存在しているよ、という話だと思います
CalenderでもAndroidでもなくてオフトピ気味だけど、
最近Using Ruby with the Google Data APIs [google.com]
うへぇ...間違って投稿してしまいました。すいません。書き直します。
最近Using Ruby with the Google Data APIs [google.com]を読んでいたんですが、ログイン認証時はhttpsなのに、他はhttpのままでトークンを流してるんですよね。
ClientLogin の プロセスを解説した図があった。http://code.google.com/intl/ja/apis/accounts/docs/AuthForInstalledApps... [google.com]
図の 8. と 9. のところが http でも通っちゃうってことかな？
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日本発のオープンソースソフトウェアは42件 -- ある官僚
googleさんのコメント (スコア:2, 参考になる)
Google、Androidアプリの情報流出問題で対応を表明 [itmedia.co.jp]によると、「本日(5月18日)からフィックスの提供を開始する。ユーザー側で操作する必要はない。フィックスは今後数日かけて各国でリリースする」とのこと。
これって、要するに各種アプリがhttpsではなくhttpでログイン認証他をやってるから、WiFi等でパケットモニタすれば中身が見られてしまうよって話だよね。androidに限らず、WiFiスポットでノートPCやスマートフォンで接続してhttpのままログインしていれば普通に起きる話じゃないの?
Re:googleさんのコメント (スコア:0)
ログイン認証をhttpでやっているのではなく、セッショントークンをhttpで流す局面が存在しているよ、という話だと思います
Re: (スコア:0, オフトピック)
CalenderでもAndroidでもなくてオフトピ気味だけど、
最近Using Ruby with the Google Data APIs [google.com]
Re:googleさんのコメント (スコア:1)
うへぇ...間違って投稿してしまいました。すいません。書き直します。
最近Using Ruby with the Google Data APIs [google.com]を読んでいたんですが、
ログイン認証時はhttpsなのに、他はhttpのままでトークンを流してるんですよね。
Re: (スコア:0)
ClientLogin の プロセスを解説した図があった。
http://code.google.com/intl/ja/apis/accounts/docs/AuthForInstalledApps... [google.com]
図の 8. と 9. のところが http でも通っちゃうってことかな？