パスワードを忘れた? アカウント作成
4763 story

IEのCookieをオフにしても有効なCookieモドキ 29

ストーリー by Oliver
言葉の壁によるセキュリティ 部門より

jbeef曰く、"Cookieという仕組みが使い方次第で自己情報コントロール権を侵害する場合のあるものであることは、アレゲな人たちの間ではもはや周知のことだろう。関連する過去のストーリーを挙げてみると、欧州議会がcookie禁止法案を来週採決Windows Media PlayerにDVDタイトル追跡機能EUでは商用eメールはオプトイン、クッキーも事前通知非公式サイトにも契約者ID垂れ流しのEZWebプライバシー訴訟でDoubleClickが45万ドルで和解などがある。
そうした認識があるがゆえに、IE 6ではP3Pという仕組みが導入された。しかしその一方で、その努力を台無しにする機能が存在することが指摘されている。2002年1月にRichard M. Smith氏は、 Windows Media Playerにデフォルトで設定される固有のIDがJavaScriptから参照できることを指摘し、スーパークッキーと名付けて問題提起した。これは、Media Playerの設定で回避できる (「ツール」メニューの「オプション」を選び、「プレーヤー」タブのところにある「インターネットサイトによるプレーヤーの個別識別を認める」をオフにするればよい)が、デフォルトではオンになっている。
これと同様の問題が別の機能でも起きることが、BUGTRAQに8月に流れた記事で指摘された。(いささか古い話だが、あまり話題になっていないようなのでタレこむ。)
IEのセキュリティ設定(「インターネットオプション」の「セキュリティ」タブのところの「レベルのカスタマイズ」ボタンで現れる設定)には 「UserDataの常設」という意味不明な名前の設定項目(英語版では「UserData persistence」)がある。 これは、スクリプトからの操作で、 ブラウザに情報を記憶させ、後に取り出すための機能で、 セッションを越えて情報が保持されるので、 有効期限が永遠のcookieと同様の機能を果たす。 この「UserDataの常設」がインターネットゾーンでは「有効」に設定されている。 cookieをオフにする必要を感じる者は、これもオフにした方がよい。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by char (1245) on 2003年01月20日 21時12分 (#239279) ホームページ 日記
    Windows Media Playerにデフォルトで設定される固有のIDがJavaScriptから参照できる
    ということだがWindows Media PlayerのIDを参照できるのはIEだけだという認識でよいのであろうか?どうにかすればmozillaからもWindows Media PlayerのIDを参照できるということはないのか?
    --
    char *A;
    モータースポーツ部 [slashdot.jp]
    • by Anonymous Coward on 2003年01月21日 2時13分 (#239508)
      デモページで試してみると、Netscape 4.x だと読めてしまいました。
      EMBEDを使っているあたりからして、Netscapeも想定してるみたい。

      if (navigator.appName == "Microsoft Internet Explorer") {
              document.writeln('<OBJECT classid="clsid:..." ID=WMP WIDTH=1 HEIGHT=1></OBJECT>');
      } else {
              document.writeln('<EMBED TYPE="application/x-mplayer2" NAME=WMP WIDTH=2 HEIGHT=2></EMBED><br><br>');
      }
      ...
      document.out.GUID.value = document.WMP.GetClientID();

      Netscape 7で試したらIDが出なかったけど、それで大丈夫なのかは不明。
      親コメント
      • Opera 6.05jp for Win で試してみました。

        JavaScriptを切ってあれば何も起こらないようです。
        しかし、JavaScriptをonにしていると、

      • しばらく(*1)待たされた上
      • IDが表示されてしまう

        という状況になりました。

        この実験ではWMPの個体認識はoffに設定済みの状態で実施しました。
        したがって表示されたものはセションごとのIDのようです。
        早い話が、yanagiさん [srad.jp]が先にご報告くださったのと同様です。
        (当該コメントの番号は#239382です。 [srad.jp])

            (*1:待ち時間はCPUパワーに依存と想像。)
        参考になるなる? :-)
        --
--
Regards, Regards  (Slashdot.jp 無粋部)
親コメント
  • なるほど (スコア:2, 興味深い)

    by gram (10641) on 2003年01月20日 10時15分 (#238975)
    Demo Pageを見ました。
    WindowsMediaPlayerのクライアントID(GUID)がJavaScriptで取得できるんですね。
    既に動画配信を行っているサイトのいくつかでは、ストリームのログからクライアントIDを使ってユーザの視聴記録を取っているところもありますけど、それと今回のWebページから取得したIDを突き合わせて関連付ければ…。

    「××で○○な動画が好きなアナタ! ぜひここにアクセス!」

    なんてことがおきそう。
  • by bushidoh (12670) on 2003年01月20日 11時07分 (#239002)
    もまだ存在しています。
  • by Anonymous Coward on 2003年01月20日 7時00分 (#238905)
    と思って設定見たら、すでに設定済みでした…
    何の設定かわからないチェックはとりあえず無効にしておく、という習慣が私には出来てたみたいです。
  • 一言でいうと (スコア:0, すばらしい洞察)

    by Anonymous Coward on 2003年01月20日 7時58分 (#238917)
    余計な機能を付けるたびに土壷に嵌ると
  • by Anonymous Coward on 2003年01月20日 14時19分 (#239122)
    掲示板等のピンポイントアクセス制限には使えそうですね。 当然機能オフは書き込みはデフォルトでreject。 2chあたりが使いそうかもねぇ...
  • by Anonymous Coward on 2003年01月20日 16時37分 (#239171)
    極端な話、URL埋め込み+httpsでも本質的には大丈夫だと思うが。

    URL埋め込みやhiddenはユーザに見られる心配があるというけど、 それはcookieでも同じことで、ログに残りやすいかどうか、という 程度の違いしか無いはず。

    使い捨てなら漏れたって平気だろうし。

  • typodupeerror

    目玉の数さえ十分あれば、どんなバグも深刻ではない -- Eric Raymond

    読み込み中...