金利0無利息キャッシング – キャッシングできます

オープンあるいは非オープンなリダイレクタの危険性について

17:24 |

すごく手短に書くけど

http://chuwa.iobb.net/tech/archive/2011/01/xss.html

Googleの検索結果で任意のサイトに対するリダイレクトが出来るみたいな話で、この記事を書いた人はXSSといってるんだけど、これは単にI'm feeling luckyの検索結果のリダイレクトだ。

• google.com上のXSSはそれなりにあるだろうし、調べれば事例が出てくるので珍しいことじゃない。
• でもXSSじゃないものをXSSだと言って、本来想定される影響よりも大げさに書くのは避けるべきだ。
  • そういうことが当たり前になってしまうと、情報を公開するメリットよりもデメリットのほうが大きくなってしまうから。
• じゃあリダイレクタは安全なのか(セキュリティホールと呼べるかどうか)というと、時と場合による。

古いバージョンのJavaアプレットでオープンリダイレクタが設置されてるドメインのCookieを盗めるというバグがあった。

• http://sla.ckers.org/forum/read.php?2,35422,page=1#msg-35454
• http://code.google.com/p/cookieexpropriator/

リリースノートのどれに該当するのかちょっと正確に把握してないんだけど、自分が把握してる限り、JRE 6 Update 22で直ってる。(もし俺の検証不足でちゃんと直ってなかったりしたらゴメンね！でも実証コードも公開されてるんだし別にいいよね)

「ユーザーが古いJavaプラグインを放置している前提」にすると、オープンリダイレクタじゃなくても、ある程度任意のURL(相手先が自由に内容を変更できる)に対するlocationヘッダを使ったリダイレクトについて「XSSと同程度の危険がある」と、見積もらないといけなくなる。しかしユーザーにとって見れば、古いプラグインを放置している前提だとgoogle.comのcookieを盗まれるよりも、もっとひどいことが起こりうるので、サービス側としてはそいつらを保護することに大きな意義があるのかという問題もある。単体では脆弱性にならないんだけど、拡張機能、グリモン、ブラウザの変な仕様、バグ、などと組み合わせて脅威の度合いがアップすることがある。それはXXXXのバグだろ！！！みたいなケースでも、影響を考えて対応する(しなければならない)ことがある。

あとこれはサービス側の問題という性質が大きいけれどOpenIDによるログイン機能を提供している場合に悪用できるという問題もある。

http://d.hatena.ne.jp/ZIGOROu/20071020/1192907732 (この問題はopenid.return_toを検証することで解決するけど、すべてのOP/RPが対応してるわけじゃない、つまりセキュリティに厳しく運用しようとすると相互運用性に支障が出る。以前docomo IDについて調べたときに軽く触れた http://subtech.g.hatena.ne.jp/mala/20100310/1268232473 )

まあそういう影響もあってか「SEOに悪用できる」とか「フィッシングに使える」などよりも、やや重いセキュリティ上の問題として認識して(フィッシングもまあ問題だけど)いくつかのサービスではリダイレクタつくらないようにしたり、metaタグを使ったリダイレクトを使うみたいな流れになってたりする。