アカウント名:
パスワード:
ではここスラドにいるwindows技術者の方々は「ブラウザからICカードにアクセスできるような仕組みを作って」という依頼をどう解決する?
論点がずれてるな。問題点は、セキュリティ啓蒙の第一人者のblog「高木浩光＠自宅の日記」の2005年の記事で、「罪深さ:凶悪」、「必然性:皆無」で、「やってはいけないセキュリティ設定指示Top15」の堂々1に輝いた、
>「署名済みActiveXコントロールのダウンロード」を「有効」に設定しろ
を、「やれ」と指示している点。これは、「ウェブサイトに仕込まれたウィルスを全部自動で実行せよ」という設定に他ならない。
ActiveXを正しくインストールさせて使わせる事自体にはただちに問題はない。将来性が無いとか、正しく理解させるのが難しくて「ActiveXっていいものなんだ! 次から見かけたら何でもとりあえずインストールしよっと!」とかいう勘違いに繋がりかねないとか、今更感、間接的な問題を含めて最適解かどうかは怪しいけど。
あるいは、技術的な話に終始していいなら、Javaにちゃんと対応するのでもOK。時の最新版以外への対応は切っても良いだろうから、最新版での動作確認を続けていく予算だけは計上する。
TLSのクライアント証明書認証は使えないの？昔USBドングルを使ったとき、製造元のアプリで認証を済ませた後は証明書ストアにある秘密鍵付き証明書と同様に扱えたんだけど。
ここはSCSKさんを呼んで、Curlについて説明をしてもらうってのは
証明書の確認って要するにハッシュ計算でしょ。
emscripten
https://www.ipa.go.jp/security/pki/024.html [ipa.go.jp]を読んでからどうぞ。
ICカードっていう一応耐タンパ性が多少確保されたデバイス内に秘密鍵を入れとくから意味があるのに、ブラウザから読める場所に秘密鍵置いてブラウザ上で計算とかしたら色々と台無しですよ。PCが攻撃された時もその場で秘密鍵が盗まれてしまいますし。ていうかクライアント証明書って仕組み使えばJavaScriptこね回さなくても大丈夫です。
でもま、コレのICカードの秘密鍵が守れたところで、PCがマルウェア感染してネットバンキングのアカウント盗まれちゃ何の意味もない。秘密鍵ファイルがPC内にぽんと置かれてても、マトモなブラウザセキュリティ設定にできる方が100倍マシだろうな…
Flashでできますよ。Edyとかできてるし。
eTaxでやってる。http://www.sony.co.jp/Products/felica/consumer/guide/etax.html#flow [sony.co.jp]
いやそいつもブラウザi/fがflash/airだ。前はアプレットだったと思う。
「Flashでできますよ。」に対する同意なんだからそりゃFlashだろ
Flashも消えるのは時間の問題だから代替案になってないな。
Flashだけは時間の問題とまでは言えない。なにせChromeとWindows8以降のIEには標準で組み込まれ、速やかなアップデートが出来るようになってしまったから。プラグイン廃止の流れも組み込みFlashは例外になってる。
別途インストールが必要なJREやActive XよりもWindows8以降に標準で含まれるFlashを使った方がマシだな。
とはいえ、Flash衰退は事実だし、今すぐには切れないがアップデートをユーザー任せにしたら危険だから、ってことで組み込んでるだけだと思う。だから、いつChromeなどがFlashを切ってもおかしくはない。そもそもAdobe自身がFlashを切り始めてるからね。もう製品にFlashの名前掲げてるのはFlashPlayerくらいか。Flash作る方はAnimateになって、こちらはhtml5での出力に注力してる。やはりモバイル端末でFlash使えないのが致命的。どう考えても時間の問題だ。残るは動画再生くらいしか用途もないでしょ。
それでもActiveXよりはまだ未来もある....w
需要があるならHTML5でUSBデバイス弄れる仕様がそのうち実装させるのでは？
そしてセキュリティがヤバくなる
既に存在する膨大なFlash資産はどこかに消え去ったりはしないので利用し続けるだけなら当分Flashがなくなったりはしないと思いますね。特にゲームなんかはコンバートも難しそうですし再生し続けたいという需要も多いでしょう。
確かに。長期的な視野で見ると世界は滅んでいるので、この世のすべては代替案にならないね物理現象が全く異なる異世界から持ってこないと
こういう感じで行けるんじゃなかろうか
１．ICカードリーダーを起動して、適当なポートで接続を待つ２．websocketでローカルホストの適当なポートにつなぐ３．認証に必要な情報をwebscoket経由で送る
ぐぐったところ、webscoketはローカルホスト経由でもつなぐことができるので、しばらくの間は大丈夫だと思われるただ、この方法だとセキュリティ的な意味で危ないが…winscoksにフックかければICカードの情報とか取れてしまうし
いろんな外部機器動かすシステムでその手段使ってたな
逆だ、ICカード内のプロセッサで動かしたブラウザから納税サイトにアクセスする方法を考えるべきだ＃そもそも秘匿したい情報だからICカード内に格納してあるのに、なぜそれをネット経由でどこかに送らなければならない？
会社側の政治的な駆け引きに載せられた省庁がクソな技術を採用してしまってることが問題であって技術的な複雑さは相当程度に低いよ
#話がわからないなら見栄はって質問しなくてもいいですよ
低いというのであれば教えて頂きたい。ブラウザから「直接」カードリーダー（デバイス）にアクセスする方法を。
これ、以下の条件だと思いますよ。ブラウザ以外のネットワーク通信NGアプリNG
数年前、ICカードリーダーではありませんが、半月以下でデバッグまで含めて楽な方法と言うことで結局ActiveXを使いましたよ。。デバッグ時は確認アプリ作ってやってました。
顧客はいきなり道具を指定して仕事を持ってくる事があっても、それは「本当にやりたいこと」ではない。
地面に穴を開けたいと言う人が、木工用ドリルを持ってきたら、店員はそれではなくて土木用のドリルを進めるべきだろう。顧客がほしいのは穴、あるいは穴を使った何かなのだから。
以下の条件だと思いますよ、などと思考停止するのはプロの仕事じゃない。明らかに技術的妥当性があるのに、駄目な提案から動かせないのはもはや政治だ。
いろいろ書かれていますけど要は「質問の答はわからない」ですね。
不適切な質問なので答えはない ですが
ChromeアプリとFirefox拡張で良いのに。
Edgeの拡張がまだ出てきないし(時間の問題らしいけど)来年にはFlashかEdge拡張かストアアプリが出てくるだろうよ
技術者視点では「前提条件がgdgdなクソ依頼なんて受けねえ」で一致するんじゃないですかね営業としてはまた別の解があるんでしょうけど
a.このXXXX.exeのリンクをクリックして出てきた「実行」ボタンを押してください そこからプログラムが実行されますので、接続したICカードの情報が読み取れます
マジで、イントラネット専用ならそうしますよ？
b.事前セットアップでカードリーダ用のドライバをインストールしてください。 （WEBサーバとクライアントプログラムと通信して情報を読み取る） 普段の動作はブラウザで行います。
どうしてもJavaアプレットもActiveXもFlashなど、Sandbox系をセキュリティを緩和した状態での使用はだめだけどクライアント環境にアクセスさせるならこっちですね。現実的じゃないけど。
ICカードリーダーをUSBオーディオデバイスにする。
俺もコレに一票。でもUSBオーディオだと出力先デバイスが一致しないケースがありうるから、イヤホン端子とマイク端子付けてぶっさせるようにもしておきたい。ついでに署名する内容の一部はカードリーダデバイス上に表示して、署名実行の認証ボタンもデバイス上に乗っけてしまいたい。
オーディオじゃなくてイーサネットポート付けて、デバイス内のWebサーバにアクセスするような形でも良いね。
もしカードのゼロデイが発生したら、うっかり差しっぱにしてたカードはどうなる？汎用ブラウザをホストにするのをやめて、専用EXEにする必要なら、そこからTridentなりwebkitなり呼ぶのもいいだろう
というか、この手の問題が出るから汎用OSでなく専用機を用意するってのは一つの方法だとは思うんですけどね。それもPOSレベルのOSでなく、ユーザーのプロセスは一つだけ、とかの奴。汎用機にセキュリティを求めた挙句、その対処としてセキュリティが甘くなるなんて本末転倒もいいところ。おもしろいからもっとやれ。
ハードウェアデバイスを開発するな。ブラウザからの利用前提なんて話にならないから絶対に受けない。
そもそも税金払うだけなのに本当に電子証明書でやる意義はあるの？『法律で決まっているから』というのは別として、技術的にも取引の内容を考えてもトランザクション認証とかで十分だと思うんだけど。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
アレゲはアレゲを呼ぶ -- ある傍観者
ここまで代替案無し (スコア:0)
ではここスラドにいるwindows技術者の方々は「ブラウザからICカードにアクセスできるような仕組みを作って」という依頼をどう解決する?
Re:ここまで代替案無し (スコア:2, 興味深い)
論点がずれてるな。問題点は、セキュリティ啓蒙の第一人者のblog「高木浩光＠自宅の日記」の2005年の記事で、
「罪深さ:凶悪」、「必然性:皆無」で、「やってはいけないセキュリティ設定指示Top15」の堂々1に輝いた、
>「署名済みActiveXコントロールのダウンロード」を「有効」に設定しろ
を、「やれ」と指示している点。これは、「ウェブサイトに仕込まれたウィルスを全部自動で実行せよ」という設定に他ならない。
ActiveXを正しくインストールさせて使わせる事自体にはただちに問題はない。
将来性が無いとか、正しく理解させるのが難しくて「ActiveXっていいものなんだ! 次から見かけたら何でもとりあえずインストールしよっと!」とかいう
勘違いに繋がりかねないとか、今更感、間接的な問題を含めて最適解かどうかは怪しいけど。
あるいは、技術的な話に終始していいなら、Javaにちゃんと対応するのでもOK。
時の最新版以外への対応は切っても良いだろうから、最新版での動作確認を続けていく予算だけは計上する。
Re:ここまで代替案無し (スコア:1)
TLSのクライアント証明書認証は使えないの？
昔USBドングルを使ったとき、製造元のアプリで認証を済ませた後は証明書ストアにある秘密鍵付き証明書と同様に扱えたんだけど。
Re: (スコア:0)
ここはSCSKさんを呼んで、Curlについて説明をしてもらうってのは
Re: (スコア:0)
証明書の確認って要するにハッシュ計算でしょ。
emscripten
Re: (スコア:0)
https://www.ipa.go.jp/security/pki/024.html [ipa.go.jp]
を読んでからどうぞ。
Re: (スコア:0)
ICカードっていう一応耐タンパ性が多少確保されたデバイス内に秘密鍵を入れとくから意味があるのに、
ブラウザから読める場所に秘密鍵置いてブラウザ上で計算とかしたら色々と台無しですよ。
PCが攻撃された時もその場で秘密鍵が盗まれてしまいますし。
ていうかクライアント証明書って仕組み使えばJavaScriptこね回さなくても大丈夫です。
でもま、コレのICカードの秘密鍵が守れたところで、PCがマルウェア感染してネットバンキングのアカウント盗まれちゃ何の意味もない。
秘密鍵ファイルがPC内にぽんと置かれてても、マトモなブラウザセキュリティ設定にできる方が100倍マシだろうな…
Re: (スコア:0)
Flashでできますよ。
Edyとかできてるし。
Re: (スコア:0)
eTaxでやってる。
http://www.sony.co.jp/Products/felica/consumer/guide/etax.html#flow [sony.co.jp]
Re: (スコア:0)
いやそいつもブラウザi/fがflash/airだ。
前はアプレットだったと思う。
Re: (スコア:0)
「Flashでできますよ。」に対する同意なんだからそりゃFlashだろ
Re: (スコア:0)
Flashも消えるのは時間の問題だから代替案になってないな。
Re: (スコア:0)
Flashだけは時間の問題とまでは言えない。
なにせChromeとWindows8以降のIEには標準で組み込まれ、速やかなアップデートが出来るようになってしまったから。
プラグイン廃止の流れも組み込みFlashは例外になってる。
別途インストールが必要なJREやActive XよりもWindows8以降に標準で含まれるFlashを使った方がマシだな。
Re: (スコア:0)
Re: (スコア:0)
とはいえ、Flash衰退は事実だし、今すぐには切れないがアップデートをユーザー任せにしたら危険だから、ってことで組み込んでるだけだと思う。
だから、いつChromeなどがFlashを切ってもおかしくはない。
そもそもAdobe自身がFlashを切り始めてるからね。もう製品にFlashの名前掲げてるのはFlashPlayerくらいか。
Flash作る方はAnimateになって、こちらはhtml5での出力に注力してる。やはりモバイル端末でFlash使えないのが致命的。
どう考えても時間の問題だ。残るは動画再生くらいしか用途もないでしょ。
Re: (スコア:0)
それでもActiveXよりはまだ未来もある....w
Re: (スコア:0)
需要があるならHTML5でUSBデバイス弄れる仕様がそのうち実装させるのでは？
そしてセキュリティがヤバくなる
Re: (スコア:0)
既に存在する膨大なFlash資産はどこかに消え去ったりはしないので利用し続けるだけなら当分Flashがなくなったりはしないと思いますね。
特にゲームなんかはコンバートも難しそうですし再生し続けたいという需要も多いでしょう。
Re: (スコア:0)
確かに。
長期的な視野で見ると世界は滅んでいるので、この世のすべては代替案にならないね
物理現象が全く異なる異世界から持ってこないと
webscoket&localhost (スコア:0)
こういう感じで行けるんじゃなかろうか
１．ICカードリーダーを起動して、適当なポートで接続を待つ
２．websocketでローカルホストの適当なポートにつなぐ
３．認証に必要な情報をwebscoket経由で送る
ぐぐったところ、webscoketはローカルホスト経由でもつなぐことができるので、しばらくの間は大丈夫だと思われる
ただ、この方法だとセキュリティ的な意味で危ないが…
winscoksにフックかければICカードの情報とか取れてしまうし
Re: (スコア:0)
いろんな外部機器動かすシステムでその手段使ってたな
Re: (スコア:0)
逆だ、ICカード内のプロセッサで動かしたブラウザから納税サイトにアクセスする方法を考えるべきだ
＃そもそも秘匿したい情報だからICカード内に格納してあるのに、なぜそれをネット経由でどこかに送らなければならない？
Re: (スコア:0)
会社側の政治的な駆け引きに載せられた省庁が
クソな技術を採用してしまってることが問題であって
技術的な複雑さは相当程度に低いよ
#話がわからないなら見栄はって質問しなくてもいいですよ
Re: (スコア:0)
低いというのであれば教えて頂きたい。
ブラウザから「直接」カードリーダー（デバイス）にアクセスする方法を。
これ、以下の条件だと思いますよ。
ブラウザ以外のネットワーク通信NG
アプリNG
数年前、ICカードリーダーではありませんが、半月以下でデバッグまで含めて楽な方法と言うことで結局ActiveXを使いましたよ。。
デバッグ時は確認アプリ作ってやってました。
Re: (スコア:0)
顧客はいきなり道具を指定して仕事を持ってくる事があっても、
それは「本当にやりたいこと」ではない。
地面に穴を開けたいと言う人が、木工用ドリルを持ってきたら、
店員はそれではなくて土木用のドリルを進めるべきだろう。
顧客がほしいのは穴、あるいは穴を使った何かなのだから。
以下の条件だと思いますよ、などと思考停止するのはプロの仕事じゃない。
明らかに技術的妥当性があるのに、駄目な提案から動かせないのはもはや政治だ。
Re: (スコア:0)
いろいろ書かれていますけど要は「質問の答はわからない」ですね。
Re: (スコア:0)
Re: (スコア:0)
不適切な質問なので答えはない ですが
Re: (スコア:0)
ChromeアプリとFirefox拡張で良いのに。
Re: (スコア:0)
Edgeの拡張がまだ出てきないし(時間の問題らしいけど)
来年にはFlashかEdge拡張かストアアプリが出てくるだろうよ
Re: (スコア:0)
技術者視点では「前提条件がgdgdなクソ依頼なんて受けねえ」で一致するんじゃないですかね
営業としてはまた別の解があるんでしょうけど
Re: (スコア:0)
a.このXXXX.exeのリンクをクリックして出てきた「実行」ボタンを押してください
そこからプログラムが実行されますので、接続したICカードの情報が読み取れます
マジで、イントラネット専用ならそうしますよ？
b.事前セットアップでカードリーダ用のドライバをインストールしてください。
（WEBサーバとクライアントプログラムと通信して情報を読み取る）
普段の動作はブラウザで行います。
どうしてもJavaアプレットもActiveXもFlashなど、Sandbox系をセキュリティを緩和した状態での使用はだめだけど
クライアント環境にアクセスさせるならこっちですね。現実的じゃないけど。
Re: (スコア:0)
ICカードリーダーをUSBオーディオデバイスにする。
Re: (スコア:0)
俺もコレに一票。
でもUSBオーディオだと出力先デバイスが一致しないケースがありうるから、
イヤホン端子とマイク端子付けてぶっさせるようにもしておきたい。
ついでに署名する内容の一部はカードリーダデバイス上に表示して、
署名実行の認証ボタンもデバイス上に乗っけてしまいたい。
オーディオじゃなくてイーサネットポート付けて、
デバイス内のWebサーバにアクセスするような形でも良いね。
専用アプリ(に収束) (スコア:0)
もしカードのゼロデイが発生したら、うっかり差しっぱにしてたカードはどうなる？
汎用ブラウザをホストにするのをやめて、専用EXEにする
必要なら、そこからTridentなりwebkitなり呼ぶのもいいだろう
Re: (スコア:0)
というか、この手の問題が出るから汎用OSでなく専用機を用意するってのは一つの方法だとは思うんですけどね。
それもPOSレベルのOSでなく、ユーザーのプロセスは一つだけ、とかの奴。
汎用機にセキュリティを求めた挙句、その対処としてセキュリティが甘くなるなんて本末転倒もいいところ。
おもしろいからもっとやれ。
Re: (スコア:0)
ハードウェアデバイスを開発するな。
ブラウザからの利用前提なんて話にならないから絶対に受けない。
Re: (スコア:0)
そもそも税金払うだけなのに本当に電子証明書でやる意義はあるの？
『法律で決まっているから』というのは別として、技術的にも取引の内容を考えてもトランザクション認証とかで十分だと思うんだけど。