高木浩光氏、セキュリティ面への懸念から都道府県型ドメインに対して公開質問状 71
ストーリー by kazekiri
47本パックを買う前に 部門より
47本パックを買う前に 部門より
hauncon 曰く、
JPRSが都道府県型JPドメイン名の新設を決定した件に対して、Webセキュリティ面への懸念から高木浩光氏がJPRSへ公開質問状を送ったようだ。 cookie発行時の有効ドメイン範囲の限定など、WebブラウザによるPublic Suffix Listに基づいたセキュリティ上の各種制御が行われているわけだが、そのPublic Suffix Listの更新をJPRSがどのように考えているのか問う質問状のようである。
高木氏は、都道府県型JPドメイン名がcookieを利用できないなどの欠陥ドメイン名となることが予想されるとしているが、徳丸浩が行った調査によれば、現状での各種ブラウザにおいては、toku.mie.jpのような3レベルドメインでは、Firefox、Chrome、SafariについてCookieが受け入れられない場合があり、さらにIEとOperaについては、Cookie Monster Bugのため、Cookieを安全に利用できないという問題があるとのことである。
勉強になった (スコア:1)
まぁどうなるかはわからないが、こういうことがあるとは知らなかったので勉強になったかな。
通常サブドメイン間で共有するようなCookieの使い方はしないと思うけど
誰かしらない人にサブドメインを貸したら、Cookie Monster Bugのバグで狙われることもあるってことですね。
IEを使っている人は多いし、知識の少ない人の割合も多そうだし、危険ですね。Chromeは単なるバグだと思うけど（元々Googleはバグが多いし）
普通は知らない人にサブドメインを貸すようなことはないけど、地域ドメインなら可能性はあるってことかぁ
誰でもいくつでも取れるとなれば、確かにその不安はありそうだなぁ
Re:勉強になった (スコア:1)
*.tdiary.netみたいに無料でサブドメインもらえるサービスがあるかと思えば
*.slashdot.jpとか*.hatena.ne.jpみたいにドメインまるごとcookie共有したり
逆に*.県.jpは共有しちゃいけないとか、ほんとブラウザも御苦労なことです。
多分どのブラウザも対策しないままで廃れるんでしょうね。
Re: (スコア:0)
思慮・思料・思量の使い分けを覚えた。
そも、cookieが安全にデータを送受信する手段として適切なのか？ (スコア:0)
むしろ、今回のように他者の変更に対して脆弱で半端な実装としか思えないわけで、ユーザの意図とは別に、脆弱性が露呈する場面は、JPRSの手落ちというわけでもなし、的外れだと思うのだが。
JPRSが余計な実装を施したおかげで、ブラウザ屋とWebアプリ屋が多少困るのは理解できなくも無い側面であるけれども、cookieって、大切な情報を送受信、保存する手段とは思えず、また、問題の本質とは違うのではなかろうか。
識者の方、私の後学のため、是非ともその点のご高説、ご教示いただけますとと幸甚の限りでございます。
# 今回は高木の釣りのような気もするし、何か隠し球を持っているのだろうか．．．
そも、Internetが安全にデータを送受信する手段として適切なのか？ (スコア:1)
DNSポイズニングとかMITMにより...
大切にも程度がある。
ここのセッションクッキーは大切といえば大切だけど、あれこれ手を尽くして守るほどでもない。
でもオンラインバンキング時のログイン状態は、たしかにクッキーで持つには不安がある。
ところでSSLでsecureフラグを付けても、やっぱり別組織だろうと正当なSSLなら送っちゃうんだろうな。
Re: (スコア:0)
# 識者でも無いが、思ったことを書かせていただく。
他のレジストラ（海外）でこういう変更を行うところってある？あった？
ccTLDの下を一手に引き受けているレジストラなんだからね
もうちょっと影響を考えて変更して欲しいな
.name はどうなる？ (スコア:1)
¶「だますのなら、最後までだまさなきゃね」/ 罵声に包まれて、君はほほえむ。
地域型ドメインを全廃するなら (スコア:0)
単純に第3レベルを許可すればいいというシンプルなルールにできたのに、中途半端に残そうとするものだから全市区町村ラベルのリストが必要とかいうカオスなことに。
まあ47個パックで約50万円/年なんておいしい商売をみすみす棒にふるわけないから何を言われてもJPRSは強行するだろうね。どうせ売りつけられた企業だって実際には使わないから(せいぜい301リダイレクトを設置するくらい)Cookie Monsterとかどうでもいいし。
Re:地域型ドメインを全廃するなら (スコア:1)
＞中途半端に残そうとするものだから全市区町村ラベルのリストが必要とかいうカオスなことに
とはいえ、廃止にしたら「なぜやめるんだ！！！」と叩かれ
(あるかないかわからない)ニーズにこたえれば叩かれ
秋田県知事は抗議した方がいい (スコア:0)
秋田＝飽きた
が定着することは確実。
秋田県人 (スコア:1)
今時小学生すら言わないよ。
Re: (スコア:0)
やっぱり飽きたんですね。さすがです。
Re:秋田県人 (スコア:1)
今でも小学生な人もたくさんいますしね。
秋田には、たくさんいるというほどはいないのでは＞リアル小学生？
＃東北や四国、山陰は少子化直撃のイメージがあります。
Re:秋田県知事は抗議した方がいい (スコア:1)
ポルノサイトに使われそうな三重県の方が切実でしょ。
# xxx.maru.mie.jp
Re: (スコア:0)
北海道は
hokkaido.jpなのか
hokkai.jpなのか。
おそらく後者なんだろうけど、”道”だけ例外？
＃doでもいい話
Re: (スコア:0)
>おそらく後者
おっと前者ね
Re:秋田県知事は抗議した方がいい (スコア:2)
kyoto.jp
もっと深いレベルで例外を突っ走ってますが。
Re: (スコア:0)
http://it.srad.jp/comments.pl?sid=546391&cid=2025953 [srad.jp]
Re: (スコア:0)
ttp://mou.akita.jp/
Re: (スコア:0)
ttp://esu-ei-jii-ei.saga.jp/
アドオン必須？ (スコア:0)
ブラウザ単体の機能では
クッキー制御はプライバシーポリシーレベルか、
サブドメイン対応までのものが多いんですけど、
都道府県.jp以下での制御をどうするんでしょうね？
IE10でサードパーティアドオン締めだすなんて噂もあるし、
結構大きな問題ですよね。
# 都道府県ごと1人でも信頼できればみんな善人！
Re:アドオン必須？ (スコア:1)
IE10 Metro 版はあらゆるアドオンなし、IE10 デスクトップ版は従来通りアドオンあり、というのが最初の発表ですが、どこから「サードパーティー」アドオン締め出しなんていう話が出てきたのでしょうか?
そもそも論: 都道府県ドメインなんて誰が使うの？ (スコア:0)
中小企業くらいのレベルでも複数の都道府県にまたがる企業なんてザラなわけで、都道府県庁やそれらの出先機関を除くと、日本語ドメインほどじゃないけど用途不明。
なので、「さんざん議論をして一定の結論を見たが、ほとんど使われないから実害無し」の予感。
Re:そもそも論: 都道府県ドメインなんて誰が使うの？ (スコア:1)
romancing.saga.jp
Re:そもそも論: 都道府県ドメインなんて誰が使うの？ (スコア:3)
u-.tokyo.jp
Re:そもそも論: 都道府県ドメインなんて誰が使うの？ (スコア:1)
oo.okayama.jp
Re: (スコア:0)
大都会岡山を思い出したが、そっちではなかったか。
Re: (スコア:0)
retrospective.kyoto.jp
Re:そもそも論: 都道府県ドメインなんて誰が使うの？ (スコア:2)
Re: (スコア:0)
animation.kyoto.jp
Re: (スコア:0)
sintower.tokyo.jp
Re:そもそも論: 都道府県ドメインなんて誰が使うの？ (スコア:1)
nhk.kanagawa.jp 争奪戦が勃発しますよ?
(横浜と言わないとピンと来ないけどね)
Re: (スコア:0)
使われないのに、ブランド防衛のための取得×47本、でJPRSの幹部が株の配当金でウハウハ。
Re:そもそも論: 都道府県ドメインなんて誰が使うの？ (スコア:1)
Re: (スコア:0)
じゃあ、JPドメインの独占もしてることだし、そろそろ公取の出番だね。
セカンドライフを思い出す (スコア:0)
ネット世界にリアルでローカルなアドレスを持ち込むと、ああいう結果になる。
JPRSの考慮不足を責めるのは簡単だけど (スコア:0)
そもそもWebにおけるセキュリティがかなり不確かな多数の仮定とバッドノウハウの上になんとか成り立っていて、こういった「想定外」の仕様変更に脆弱であるというのが今回の問題の本質でしょう。JPRSの考慮不足を責めるのは簡単だけど、そろそろWeb自体のセキュリティのフレームワークをどうにかするのが生産的だと思いますけどね。
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:2, すばらしい洞察)
検討の上で「どうせWebのセキュリティなんかgdgdなんだから地域型ドメインのCookie Monsterごとき誤差の範囲」とかほざいたんなら(当否はともかく)何らかの考えに基づいた主張であることは理解できなくもないが、そもそも検討した形跡が(少なくとも議事録からは)一切見当たらないんだから話にならない。
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:2, 興味深い)
そうだよね、これ見方よっては、これはドメイン名空間の構造に独自の仮定を入れてcookiesの扱いを決めてるブラウザの不具合だよね。MozillaやGoogleに『おたくのブラウザ、DNS運用の実情と合わなくなったので実装変えたほうがいいっすよ』と言うならともかく、規格も法令を一切違反していない一レジストリを公開質問状まで出して非難するなんて、わけがわからないよ、というのがDNS屋の感想……なんだけど、Web屋からすればJPRSが十分な調査せずに勝手なことしたから現にセキュリティリスクと不具合が生じたじゃないか、なんだろうな。どっちの言い分もあると思う。
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:1)
インターネットの精神（？）って、ルールがない（違反じゃない）なら、やっていい！
ものではなく、他に迷惑かけるようなら一歩引く遠慮深さ、だと思う。
SPAM だって、送りたいメールを送ってるだけです、て言われて御意、って納得する？
Re: (スコア:0)
迷惑かけたって話なら、どっちもどっちじゃね？
JPRSの考慮不足で不具合という側面もあれば、Webブラウザベンダがクッキーモンスターバグへのあまりにも適当な対策としてPublic Suffix Listというリストを（当初よりDNS屋から強い反対があったにもかかわらず）普及させてくれたせいでドメイン名空間に理不尽な制約を与えているという側面もある。
高木先生はいつもの癖で特定の誰かを非難するんだけど（そのほうがウケるしね）、私はそうじゃないと思います。
Re: (スコア:0)
> 当初よりDNS屋から強い反対があったにもかかわらず
そんな事実はないですね。嘘はいかん。
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:1)
誰がDNS屋かというのはあるけど、Mozilla が IETF dnsop MLにPSLのアナウンスした時は非難轟々だった、って力武先生が言ってた。 [dnsops.jp]
Re: (スコア:0)
オリジナルの英語ソースは？
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:1)
http://www.ietf.org/mail-archive/web/dnsop/current/msg06100.html [ietf.org]
非難囂々かどうかは、自分で確認して元の人と戦ってくれ
オレは探すだけの係だから
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:1)
横だけど、チラ見した感想
・提案して2時間で「"手動集中管理"で"ハードコード"とか馬鹿なの死ぬの」と指摘されているにも関わらず強行し、案の定指摘された通りのことが起こっているわけでザマァ
・この議論押し切ってmozillaが「ちゃんとやります」とほざいた以上、DNS屋はgTLD追加したら粛々とmozillaに通知すれば十二分以上の責任は果たしているわけで、そこからそれをどうやってブラウザにきちんと反映させるのかはWeb屋の責任。お前らが出来ると言ったからそういう仕様なんだぜ?
だと思った。
Web屋はJPRSをdisる前に、場当たりでスケーラビリティのない馬鹿な仕様を盛り込んだブラウザを既に配っちゃって引き返せない状態にしちゃてごめんなさいって言うのが先。
これが1978年だの1988年だのの話なら仕方ないにゃーで済むかもしれんが2008年に作った仕様とか同情の余地がねえよ。
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:1)
JPRSはmozillaにメールで一言「こんなsuffix作ったから後ヨロ」って言うだけだよ。これは簡単だしやるだろう。どんなリストってそのまんま新しく新設した都道府県別ドメインはこれですって渡すだけ。
この先はmozillaがリストを作ってなんかしらんが頑張って世界中のブラウザに反映させる。分散型ではなく集中型の管理を主張し、俺がちゃんと管理しますとmozillaが押し切ったんだから、そういうルールになっているし筋論としてもそうなる。
これに対して、高木氏はその更新と反映をどうやってやるのかと「JPRSに」質問状出してるわけだけど、それをJPRSに聞くのは筋違いじゃんって話。だってそんなのDNS屋の知ったことかよ。「おいおいこんな保守方法でメンテできるわけねーだろ」「mozillaが気合でやります」「ふーん、じゃあがんばってね」というやり取りは3年前に過ぎてる。ちゃんと配れないならごめんなさいするのはmozilla。
その上で、Public Suffix Listの場当たり的なクソ仕様のせいで致命的に拡張性が失われてしまった問題に対して、諦めて「suffixはまともに増やせない」という現実をみんなで受け入れるのか、Public Suffix Listなんてまだ3年しかやってないんだから今なら捨てられると考えて今すぐ捨てて新しい仕様を作るのか、その辺は別の話だがとりあえず前者をチョイスして欲しいならまずPublic Suffix List支持派は土下座しろ。
Re: (スコア:0)
現行でもクッキー周りが変？な訳だよね。
そもそも厳密な仕様があるのかすごい疑問なんだけど。
# クッキーモンスターバグは、バグの救済策が放置された結果だと思う
Re: (スコア:0)
それだったら少なくともその「Web全体のセキュリティのフレームワーク」とやらができるまでは凍結すべきでしょう。
そうじゃないから批判が上がっているわけで。
Re:JPRSの考慮不足を責めるのは簡単だけど (スコア:2)
どっちも詳細は分かってないけど、SPF 【Sender Policy Framework】のごとくDNSに実装してしまう方がましだったのかしら、とは思う。