「SMBC「簡単！やさしいセキュリティ教室」」記事へのコメント

DoCoMoのセキュリティポリシー

[Anonymous Coward]

とりあえず、アドレスバーとステータスバーの問題について、DoCoMoに問い合わせた際の回答を貼っておこう。

--- 以下引用 ---
My DoCoMoのアドレスバー及びステータスバーに関する
ポリシーにつきましては下記のとおりとなります。

アドレスバーにつきましては、基本的にはすべて表示させる方針で
作成しておりますが、セキュリティ上、eサイトのページのみ開示しておりません。

ステータスバーにつきましては、通常遷移のページにはすべて表示させ、
別ウィンドウのページは、画面サイズをできるだけ大きくするために
表示しないようにしております。

また、セキュリティを確保する場合は、ステータスバーやアドレスバーを
隠すことにより、情報が漏れないようにさせていただいております。

Re:DoCoMoのセキュリティポリシー

[Sakura Avalon (12557)]

Firefoxのプラグイン「Configration Mania [lycos.co.uk]」で設定できる「UI偽装対策」は、DoCoMoのセキュリティポリシーに反するようで恐縮ではありますが私個人のセキュリティ対策には非常に有効で助かっております☆

＃アドレスバーを見せない事と情報が漏れない事の関連性が見えません。もしかしてDoCoMoでは、個人情報が記されたページがセッション管理さえ無い固定アドレスに放置されてるのでしょーか。

Re:DoCoMoのセキュリティポリシー

[s-tomo (2841)]

> Firefoxのプラグイン「Configration Mania」

でも、ホームページに仕込まれた信頼出来ないプログラムを実行しない [smbc.co.jp]って言われたばかりなので、
入れていいものかどうか。

Re:DoCoMoのセキュリティポリシー

[s-tomo (2841)]

> (スコア:4, おもしろおかしい)

なんでみんな笑ってるんだよ。

Web経由でブラウザに機能追加する点ではActiveXと同じで、「Configration Mania」には署名付いてないじゃないかよ。

しかも、SSLじゃないから接続相手が本当に[lycos.co.uk]かどうかも検証しようが無い。

Firefoxプラグインで可能な動作については、
HTML VALIDATOR (based on Tidy) [mozilla.org]
あたりの挙動から推測すると、悪意があれば「ソース表示を本当のソースではないものにする」とか「偽物の鍵マークを表示する」とかできそうに思えるねんけど。

# 挙げられたプラグインがスパイウェアだと言ってるんじゃないよ、念のため。

Re:DoCoMoのセキュリティポリシー

[Anonymous Coward]

> アドレスバーを見せない事と情報が漏れない事の関連性が見えません。

URLの末尾にトランザクションIDっぽい文字列が見えてると
肩越しに情報が漏洩してるみたいな気がして不安
（見えてなければ安心）

と言う御馬鹿サンが居るんじゃないですか？
社内に、（そのヒトがシステムの脆弱性）

typo

[Sakura Avalon (12557)]

×「Configration Mania」→○「Configuration Mania [lycos.co.uk]」

＃タイプしたつもりで一文字抜けてました。申し訳ありません。

Re:DoCoMoのセキュリティポリシー

[Anonymous Coward]

>＃アドレスバーを見せない事と情報が漏れない事の関連性が見えません。

ま、このメールの内容から推測すると
DoCoMoのサイトでは、ユーザ名とパスワードが
生のままでGETのパラメータに埋め込まれてる作り
なんじゃないでしょうか。

いや、それだったらアドレスバー隠しますよね～
さすがDoCoMo様、我々には思いもつかない
セキュリティ対策でございます。

# POST IT!

Re:DoCoMoのセキュリティポリシー

[Anonymous Coward]

この回答からすると、DoCoMoは「ユーザがフィッシングの危険にさらされる」ことを「セキュリティ問題」とは認識していないわけですね。
同社にとっての「セキュリティ問題」とは、自社システムのダメダメな実装が露見することだ、と。
要するにこれは、ユーザより自分自身を大事にする、という宣言です。