「WiFi 上で他人のログイン情報を盗む Firefox の拡張機能が公開される」記事へのコメント

誤解を招くなぁ

[Anonymous Coward]

>「SSL のログイン、または、強い暗号を使っていないWebサイト」の問題
って書いてるけど「または」って表現だと問題がぼやけちゃうんじゃない？

これって、認証はhttpsでやってるけど、
認証後はcookieにセッションID突っ込んでhttpでやってるから、
sniffingされるとcookie見られてセッションハイジャック完了って事ね。

Firefoxの拡張機能として実装した以外何の新規性もないし、
途中経路のハブに物理的に干渉出来るならWiFiも関係しない。
これまでもsnifferとBOOKMARKLETだけあれば簡単に実現出来てる話。

今更問題にするのもおかしいし
ログアウト状態を除いてすべてhttps化しろって話。

Re:

[mocchino (13752)]

その辺はopen SSOとか使って複数サーバーでのシングルサインオン環境を構築しようとするとキッチリ書いてありますね

クッキー取られると認証横取りされるからSSL使えって
またそのためにクッキーにsecure 属性を付けるオプションもあります

今時暗号化するだけの証明書なら$10/年位(最安値で$27/3年)からあるんだから
重要なところにはそれなりの有名どころの証明書
それ以外は安い証明書使って全部overSSLで良いと思うんですけどねぇ
安いところと高いところを使い分ければ、容易に実現出来る気がします
保険の問題でできないのかな？

SSL部分のサーバー負荷はロードバランサーとかについてる
SSLアクセラレータ使えば外だし出来るだろうし

Re:誤解を招くなぁ

[taka2 (14791)]

> 安い証明書使って全部overSSLで良いと思う

name based virtual host 使ってると単純にはSSL化できません。
SNI が十分広まったらいいんだけど、現状、XPのIE8とかだと非対応…

IPv4はアドレス枯渇が見えてる現状で、
このためだけに IP based にするというのも資源の無駄遣いな気がするし…

Re:誤解を招くなぁ

[mocchino (13752)]

その場合はちょっと高くなるけど、安いほうはワイルドカード証明書とって
使うくらいしか手が無いかなぁ
1ドメイン13K/年以上になっちゃいますけどね
subjectAltNameは安いところでは自由に設定できないだろうし

まぁ１つのIPで全部何とかするんだーって場合には使えませんけど

Re:

[Anonymous Coward]

SNI [wikipedia.org] っていう手もありますね。