「ソフトバンク携帯電話に脆弱性、「かんたんログイン」でのなりすましが可能に」記事へのコメント

サイト側の対策

[Anonymous Coward]

ソフトバンク端末はほとんどすべてがCookieをサポートしてる [milkstand.net]んだから、いっそソフトバンク端末ではかんたんログイン対応をやめてしまうのが手っ取り早い。具体的には「IPアドレス帯域」からソフトバンクの範囲を外して、PCと同様にセッション管理する。

Re:サイト側の対策

[yu_raku (419)]

そんなことをせずとも、きちんとバーチャルホストの設定をして、予期しているホスト名を使用してのアクセス以外を弾いてしまえば、DNS Rebindingの影響は受けないのでは？
そうすれば機能的に損なう物もないですし。

Re:サイト側の対策

[tietew (6130)]

アドバイザリを読んでください。XMLHttpRequestオブジェクトに於いて、Hostヘッダが上書きできてしまうため、仮想ホストでHostヘッダをチェックしていても、すり抜けてしまいます。サーバ側で対策ができません。

PCブラウザ、iモードブラウザではHostヘッダの上書きはできません。

Re:

[Anonymous Coward]

DNS Rebindingどうこうではなく、コレこそが一番危険なセキュリティホールでは…？
タレコミにコレも書いてくれないと。

Re:

[Anonymous Coward]

Host: の書き換え自体、何が危険ですか？（かんたんログインが使われていないとして）

Re:

[Anonymous Coward]

括弧内の条件は

タレコミにコレも書いてくれないと。

とどう関係してるんだ？

Re:

[Anonymous Coward]

>>>「DNS Rebindingどうこうではなく、コレこそが一番危険なセキュリティホールでは…？」

意訳：DND rebinding に関係なく、Host: の書き換え自体が危険

→ Host: 書き換えの危険性って何ですか？

Re:

[Anonymous Coward]

がんばって誤読させようとしているのは分かるけど、もう少し上手く書こうね

Re:

[Anonymous Coward]

#1769778 の理解は正しいと思うんだけど、どう違うの?

Re:サイト側の対策

[Anonymous Coward]

> そんなことをせずとも、きちんとバーチャルホストの設定をして、
バーチャルホストの設定は「かんたんログイン」とやらの設計そのものの根本的な欠陥を回避するためにやむなく行うことで、設定していないからと言って「きちんと」していないのではない。
「かんたんログイン」などさっさと捨ててしまうことこそ「きちんと」した対応。
> 予期しているホスト名を使用してのアクセス以外を弾いてしまえば、DNS Rebindingの影響は受けないのでは？
そもそもDNS Rebindingの影響を受けないとしても安全性など保証されていないけど、それ以前に今回のソフトバンクの件ではsetRequestHeaderでHostを書き換え可能な機種が存在するので明らかに安全ではない。せめてリンク先のアドバイザリくらい読んでから物言ったら?
> そうすれば機能的に損なう物もないですし。
別に端末IDがないと機能を維持できないわけではない。

Re:

[Anonymous Coward]

高木先生がまたこの手のコメントに憤慨しなければいいのだが。