アカウント名:
パスワード:
>「SSL のログイン、または、強い暗号を使っていないWebサイト」の問題って書いてるけど「または」って表現だと問題がぼやけちゃうんじゃない？
これって、認証はhttpsでやってるけど、認証後はcookieにセッションID突っ込んでhttpでやってるから、sniffingされるとcookie見られてセッションハイジャック完了って事ね。
Firefoxの拡張機能として実装した以外何の新規性もないし、途中経路のハブに物理的に干渉出来るならWiFiも関係しない。これまでもsnifferとBOOKMARKLETだけあれば簡単に実現出来てる話。
今更問題にするのもおかしいしログアウト状態を除いてすべてhttps化しろって話。
その辺はopen SSOとか使って複数サーバーでのシングルサインオン環境を構築しようとするとキッチリ書いてありますね
クッキー取られると認証横取りされるからSSL使えってまたそのためにクッキーにsecure 属性を付けるオプションもあります
今時暗号化するだけの証明書なら$10/年位(最安値で$27/3年)からあるんだから重要なところにはそれなりの有名どころの証明書それ以外は安い証明書使って全部overSSLで良いと思うんですけどねぇ安いところと高いところを使い分ければ、容易に実現出来る気がします保険の問題でできないのかな？
SSL部分のサーバー負荷はロードバランサーとかについてるSSLアクセラレータ使えば外だし出来るだろうし
よくわかっていないSEが頭のいいところ見せたがってるだけだと思う「証明書なんて取らなくてもこーすれば安全ですよー」と車輪の再発明被害総額が充分に積み上げられるまではこのままでしょう
> 安い証明書使って全部overSSLで良いと思う
name based virtual host 使ってると単純にはSSL化できません。SNI が十分広まったらいいんだけど、現状、XPのIE8とかだと非対応…
IPv4はアドレス枯渇が見えてる現状で、このためだけに IP based にするというのも資源の無駄遣いな気がするし…
その場合はちょっと高くなるけど、安いほうはワイルドカード証明書とって使うくらいしか手が無いかなぁ1ドメイン13K/年以上になっちゃいますけどねsubjectAltNameは安いところでは自由に設定できないだろうし
まぁ１つのIPで全部何とかするんだーって場合には使えませんけど
> 今更問題にするのもおかしいし全然問題視してくれないから業を煮やして、誰でも使える> Firefoxの拡張機能として実装ということをやったんでしょ？
> 何の新規性もないしこの件に新規性がないということ自体に注目すべき。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
身近な人の偉大さは半減する -- あるアレゲ人
誤解を招くなぁ (スコア:0)
>「SSL のログイン、または、強い暗号を使っていないWebサイト」の問題
って書いてるけど「または」って表現だと問題がぼやけちゃうんじゃない？
これって、認証はhttpsでやってるけど、
認証後はcookieにセッションID突っ込んでhttpでやってるから、
sniffingされるとcookie見られてセッションハイジャック完了って事ね。
Firefoxの拡張機能として実装した以外何の新規性もないし、
途中経路のハブに物理的に干渉出来るならWiFiも関係しない。
これまでもsnifferとBOOKMARKLETだけあれば簡単に実現出来てる話。
今更問題にするのもおかしいし
ログアウト状態を除いてすべてhttps化しろって話。
Re:誤解を招くなぁ (スコア:1)
その辺はopen SSOとか使って複数サーバーでのシングルサインオン環境を構築しようとするとキッチリ書いてありますね
クッキー取られると認証横取りされるからSSL使えって
またそのためにクッキーにsecure 属性を付けるオプションもあります
今時暗号化するだけの証明書なら$10/年位(最安値で$27/3年)からあるんだから
重要なところにはそれなりの有名どころの証明書
それ以外は安い証明書使って全部overSSLで良いと思うんですけどねぇ
安いところと高いところを使い分ければ、容易に実現出来る気がします
保険の問題でできないのかな？
SSL部分のサーバー負荷はロードバランサーとかについてる
SSLアクセラレータ使えば外だし出来るだろうし
Re:誤解を招くなぁ (スコア:3, すばらしい洞察)
よくわかっていないSEが頭のいいところ見せたがってるだけだと思う
「証明書なんて取らなくてもこーすれば安全ですよー」と車輪の再発明
被害総額が充分に積み上げられるまではこのままでしょう
Re:誤解を招くなぁ (スコア:1)
> 安い証明書使って全部overSSLで良いと思う
name based virtual host 使ってると単純にはSSL化できません。
SNI が十分広まったらいいんだけど、現状、XPのIE8とかだと非対応…
IPv4はアドレス枯渇が見えてる現状で、
このためだけに IP based にするというのも資源の無駄遣いな気がするし…
Re:誤解を招くなぁ (スコア:1)
その場合はちょっと高くなるけど、安いほうはワイルドカード証明書とって
使うくらいしか手が無いかなぁ
1ドメイン13K/年以上になっちゃいますけどね
subjectAltNameは安いところでは自由に設定できないだろうし
まぁ１つのIPで全部何とかするんだーって場合には使えませんけど
Re: (スコア:0)
Re: (スコア:0)
> 今更問題にするのもおかしいし
全然問題視してくれないから業を煮やして、誰でも使える
> Firefoxの拡張機能として実装
ということをやったんでしょ？
> 何の新規性もないし
この件に新規性がないということ自体に注目すべき。