アカウント名:
パスワード:
この件とは直接は関係ないが、@sha-mailでは本文に「＜a href=...＞... ＜/a＞ ここ見て」とHTMLで記述し、送信すると受信側ではハイパーリンクになり便 利なのだが、やはりメールのURLが漏洩する
とあります。私は確認していないのですが、これは、
「@写メール」による受信メールを、 Referer機能のあるブラウザで読みに行き、 そこにあるリンクを辿ると、 リンク先のサイトの人にもそのメールの内容 （例えば、そのリンク先の陰口をたたいているのを）を見られてしまう。
ということを意
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」
「@写メール」自体にも別のセキュリティホール？ (スコア:3, 興味深い)
とあります。私は確認していないのですが、これは、
ということを意
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:1)
にもかかわらず、HTTPやHTMLの規格をフル装備していても完璧な実装は不可能な「セッション」を実現させたがる。
頭が悪いとしか言いようがない。
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:1)
ただ、クッキーも全キャリア対応でもない、Referも吐いてくれない端末と吐く端末がある、UserAgentも同じキャリアでも記述方式が変わることがある、キャリアが端末の利用するIPを教えてくれないetc...という状況でセッション管理？と言いたくなるのもまた事実。勘弁して欲しいです。
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:0)
「EZサーバのIPアドレス帯域」
http://www.au.kddi.com/ezfactory/tec/spec/ezsava_ip.html [kddi.com] それとも違う事指しているのかな...
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:0)
ちなみにi-modeはこっちです
http://www.nttdocomo.co.jp/mc-user/i/ip.html [nttdocomo.co.jp]
J-PhoneはNDA下情報でした…
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:1)
元となったRFCやW3C勧告の思想に沿い、確固たるポリシーに基づいて取捨選択された物、とは言い難いと思えませんか？
無論、ハードとコストの面からの考察は重要ですが、だからといって、規格が「安かろう悪かろう」になってしまう様では業界全体が馬鹿にされても仕方ありません。
> HTML/HTTPベースになっていることそのものがとても意味がある。
メリットもありますが、デメリットもあります。
どちらが大きいかは問題でなくて、カバー出来るデメリットか否かが問題です。
そもそも、携帯電話の実装しているHTTPは、HTTP/1.1のサブセットとして明確に仕様化して、どの端末も最低限それを満たしている状態になっているのでしょうか。例えばiMODEのCHTMLは「たちの悪いパクリ＋身勝手拡張」ですが、他はどうなのでしょうか。
HTML/HTTPを利用しているが故に、携帯電話向けのサイト/情報にPCや他の機器から容易にアクセス出来る事、アクセス性が高い事は大きな利点ですが、それは同時にセキュリティホールへのアクセス性にも繋がります。
> セッションを実現しようという需要にも各自きちんと理由がある。
「似非セッション」で良しとしている理由が理解出来ません。
（そして、大きな需要が在りながら、安全なHTTPセッションの為のRFCが現れて来ない理由も）
携帯だろうと何だろうと、「正常系」が動く事だけを追い続ければ、異常系の対策をすると破綻するシステムも、平気で案件として抱え込む暴挙に至るようになります。完全にカバー出来ない物を似非でカバーして、そのリスクと穴を完全に把握＆対策せずにゴーサインを出すと、このような問題に繋がるのです。
> そういう市場・需要を無視して対案も示さず
需要を盾に、完全性や信頼性に目に瞑るSEは、存在自体がセキュリティホールになり得ます。砂の城を崩されたからとっいて怒ってはなりません。砂の城は崩れるものです。砂の城を崩れないようにする「対案」は、砂で城を造らない事です。
需要があっても市場があっても、それが適切だと言えない事は沢山あります。それらの目利きが出来るようになりたいものです。「後」で問題にならないのは運でしかありませんから。
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:1)
ルーズであることが許容されていたがために普及した規格であるHTTP/HTMLにおいて、
厳格さだけを求めても足元が危うくなるだけだと思いますが。
需要がなければ技術なんて何の価値もない。世の中的には。
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:0)
同意。WAP(1.0)の辿った道を見れば明らかです。
CHTMLはTime to marketという意味でもいいセン行ってると思いますよ。
あと、tomatsu氏は仕様の穴と実装の穴を取り違えているような…
今回の件（も、今ま
Re:「@写メール」自体にも別のセキュリティホール？ (スコア:1)
あれ、iモード用HTMLとCHTMLって別物なんだっけ？