「ドコモ携帯の「かんたんログイン」の脆弱性、「発覚」」記事へのコメント

なぜ今更ネタになるのか

[Anonymous Coward]

対策はホボこの一点に集中しているのでは。

影響範囲
(略)
HTTPリクエストヘッダのHOSTフィールドをチェックしていない

つまり、default hostで運用するなって事かと。

Re:

[Anonymous Coward]

それって常識ですか？安いレンタル共有サーバ使ってるところがたまたまそうなってるだけでは？

ヤフージャパンの http://www.yahoo.co.jp/ [yahoo.co.jp] だって、数値IPアドレス
http://124.83.147.204/ [124.83.147.204]
でアクセスできますよね。

必要がなければ制限しないのはごく普通のことでは？

Re:

[Anonymous Coward]

あのね、今更 JavaScript とかかんたん認証にからめて騒いでいる人が多いかも知れないけれど、他人のドメイン名が勝手に自分のサーバーに向いていたらどうしようかっていうのはもう何万回も議論されているネタなの。

ログイン周りで HOST 名をチェックしないと（普通は SSL がこれを兼ねるのだけど）今回のような事件も起こるし、そもそも自分のサーバー上でフィッシング詐欺が行なわれてしまう可能性もあるの。

Re:なぜ今更ネタになるのか

[Anonymous Coward]

#1702096
＞つまり、default hostで運用するなって事かと。

#1702691
＞ログイン周りで HOST 名をチェックしないと（普通は SSL がこれを兼ねるのだけど）今回のような事件も起こるし、そもそも自分のサーバー上でフィッシング詐欺が行なわれてしまう可能性もあるの。

言ってること全然違うね。