パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

メッセサンオーの顧客情報漏洩、原因は化石級の杜撰なCGI」記事へのコメント

  • 携帯対応・変なファイヤーウォールを無視できるとして、今回の件では関係ないものもありますが、対策はこんな感じでしょうか。
    専門家の方もxxはyyが悪いというばかりで、対策をまとめてくれないのでよくわからんのですよね。
    ベーシック認証、クライアント証明は考慮外です。

    step0: ログインIDとパスワードをURLに含めて持ち歩くのをやめる
    step1: パスワード送信をPOSTにしてPOSTのみ受け付ける
    step2: ログイン画面以外は、パスワードを利用せずにcookieを使う
    step3: 全コンテンツでTLS・有効で信頼済みの認証局発行のサーバー証明書を使う
    step4: cookieにはsecureフラグを

    • by Anonymous Coward

      ログイン管理というより、管理用のページを誰でもアクセスできる公開サーバに設置したのが問題かなと思えます。

      1.公開サーバと管理用のページがあるサーバを分ける。
        外から絶対にアクセスできず、
        VPN経由等でしかアクセスできないようなサーバにのみ管理用のページを設置する。
        (複数代構成ができるならこんな感じ?)

      2.それが無理なら、管理用のページをポートを変更したSSLを立ててIPアクセス制限
        IPアドレス制限で接続元を縛る。
        HTTPで情報をやり取りしたくないので、SSLで暗号化(この場合は暗号化が目的なのでオレオレ証明でも問題ない

      • by Anonymous Coward
        > HTTPで情報をやり取りしたくないので、SSLで暗号化(この場合は暗号化が目的なのでオレオレ証明でも問題ないと考える)

        オレオレ証明書を使うと暗号化の意味がないと思いますよ。
        なぜなら、パケットを盗聴できる状況ではMIM攻撃でパスワードを盗むことも可能でしょうから。
        • オレオレ証明書を使うと暗号化の意味がないと思いますよ。

          管理画面にアクセスするPCを制限できるのであれば、意味が無いこともないと思いますよ。アクセスする前にオレオレサーバ証明書なりオレオレCA証明書をそれらのPCにインストールしたり、フィンガープリントで確認する手順を徹底したりできるでしょうから。

          親コメント

アレゲは一日にしてならず -- アレゲ研究家

処理中...