Androidの標準Webブラウザでセキュア属性付きのCookieの扱いがPCやiPhoneと異なる件について - susumuis Info
Android用のWebサイトを作っていてはまったので、報告します。対象はブラウザ上で動くWebアプリの話で、ネイティブアプリではありません。 Googleで検索しても、ネイティブアプリ関連の情報は出てきますがWeb開発の情報が意外とすくなかったので、少しでもお役に立てれば幸いです。 概要 Android標準ブラウザ（Dolphinブラウザなども含む）で、セキュア属性付きのCookieの挙動がiPhoneのブラウザや、PCのChromeなどと異なります。 Cookieやセキュア属性の概要はこちらなどをご参照ください。http://itpro.nikkeibp.co.jp/article/COLUMN/20080221/294407/ PCやiPhoneのブラウザの場合、WebサーバがSet-Cookieレスポンスヘッダを返した場合、例え、そのCookieのセキュア属性が設定されていても、ブ
GoogleがSafariの設定を迂回してトラッキングしていたとされる件について - 最速転職研究会
※この記事の完成度は85%ぐらいなので後で追記します。 http://webpolicy.org/2012/02/17/safari-trackers/ http://online.wsj.com/article/SB10001424052970204880404577225380456599176.html http://blogs.wsj.com/digits/2012/02/16/how-google-tracked-safari-users/ 合わせて読みたい。 http://trac.webkit.org/changeset/92142 https://bugs.webkit.org/show_bug.cgi?id=35824 一番上のJonathan Mayer氏の記事については純粋に技術的なレポートなので、特におかしなことは書かれていない。元はといえばSafariのCooki
サードパーティCookieの歴史と現状 Part3 広告における利用、トラッキング、ターゲティング広告におけるプライバシーリスク - 最速転職研究会
前回の続き。なるべく一般人向けに書きます。サードパーティCookieとあまり関係のない話も書きます。 http://d.hatena.ne.jp/mala/20111125/1322210819 http://d.hatena.ne.jp/mala/20111130/1322668652 前回までの概要 トラッキング目的のCookieの利用などからサードパーティCookieの利用は問題視されIE6で制限がかけられるもプライバシーポリシーを明示すれば利用できるという迂回手段を用意、しかし今ではP3Pはオワコン化、SafariはサードパーティCookieの受け入れをデフォルトで拒否する設定を採用したが一度受け入れたCookieは問答無用で送信、Mozilla関係者は「殆ど合法的な利用目的はない」と言っていたものの既存Webサイトとの互換性のために変更できず、ブラウザはサードパーティCookie
サードパーティCookieの歴史と現状 Part2 Webアプリケーションにおける利用とその問題 - 最速転職研究会
前回 http://d.hatena.ne.jp/mala/20111125/1322210819 の続きです。 前回のあらすじ ブラウザベンダーはサードパーティCookieをデフォルトでオフにしたかったんだけどお前らがサードパーティCookieに依存したサイト作るし使うからオフに出来なかったんだよ!!!!! といった事情を踏まえた上でWebアプリケーションにおけるサードパーティCookieの利用の歴史について書きます。前提知識の共有が済んだので、ここからはある程度個人的な意見も含まれます。実装面での技術的な内容も含みます。 サードパーティCookieが必要とされてきた歴史 広告のためのトラッキングCookie以外にも、サードパーティCookieに依存したサービスが数多く存在してきた。個人的に把握しているいくつかのサービスについて時系列で述べる。ついでに広告業界の流れについても重要なのを幾
サードパーティCookieの歴史と現状 Part1 前提知識の共有 - 最速転職研究会
Web開発者のためのサードパーティCookieやらトラッキングやらの問題点について三回ぐらいに分けて書きます。 この文章は個人的に書いていますので、おい、お前のところのサービスがサードパーティCookieに依存してるじゃねーかというツッコミがあるかもしれないが、そういうことを気にしているといつまで経っても公開できないという問題が出てしまうので、そんなことはお構いなしに書く。ちなみに例外なく自社サービスに対してもサードパーティCookieに依存するな死ねと言っている。これはWebプログラマー観点で、自分がサービス開発に関わる上で知っておかねばならないだろう知識として十数年間だらだらとWebを見ていて自然に知っていたものと、あるいは興味を持って率先して調べたものが含まれている。ググッて直ぐに分かる程度の用語の定義的なことは書かない。あくまでWebサイト制作者側からの観点なので、ブラウザ開発関係
属性型JPドメインと地域型JPドメインに対するCookie Monster Bug調査
※凡例 地域型JPドメインの第2レベルとは、tokyo.jpなど第2レベルのドメイン名でCookieが発行できるもの 地域型JPドメインの第3レベルとは、chiyoda.tokyo.jpなど第3レベルのドメイン名でCookieが発行できるもの 背景が赤のセルは現バージョンでバグのあるもの。無色は旧バージョンの参考情報 携帯電話に関しては機種毎に仕様が異なる可能性が高く、全機種について調査したわけではないので、上記はあくまで抜き取りでの結果であることに注意されたし ※確認機種、バージョン等 iモード:P-07A(iモードブラウザ2.0)で確認 EZweb:W52T、biblioで確認（結果は同じ）。詳細は後述 Softbank(1): 821N, 932SHで確認。これらは非公式JavaScript対応機 Softbank(2): 944SH(公式JavaScript対応機)で確認 Andr
「欠陥ドメイン名」が世界的に増えそうな件について:Geekなぺーじ
JPRSが「JPRSが、地域に根ざした新たなドメイン名空間「都道府県型JPドメイン名」の新設を決定」というプレスリリースを出しましたが、それに対して高木浩光氏から問題提起及び公開質問状のが行われました。 さらに、徳丸浩氏が、実際にcookieで問題が発生することを検証されていました。 高木浩光＠自宅の日記: JPRSに対する都道府県型JPドメイン名新設に係る公開質問 徳丸浩の日記: 都道府県型JPドメインがCookieに及ぼす影響の調査 高木浩光氏が以下のように述べられています。 何もしなければ、「都道府県型JPドメイン名」の登録が始まっても、cookieを利用できないなどの欠陥ドメイン名となることが予想される。 「都道府県型JPドメイン名」が開始されるにあたって、指摘されているような問題は実際に発生すると思われるので、JPRSが公開質問状に答えることを期待したいところです。 で、今回のこ
私はいかにしてOperaブラウザのCookie Monster Bugを確認したか - ockeghem's blog
昨日の日記「都道府県型JPドメインがCookieに及ぼす影響の調査 | 徳丸浩の日記」にも書きましたが、Operaブラウザの最新版（11.51）には、地域型ドメインの場合にCookie Monster Bugがあります。以下は、三重県の志摩市のドメイン(www.city.shima.mie.jp)上で domain=mie.jpのCookieをセットした様子です。 この状態で三重県津市(www.info.city.tsu.mie.jp)のホームページにアクセスしたところ、このCookieが送信されることをネットワークキャプチャにて確認しました。 Operaブラウザは独自の方法でCookie Monster Bugに対応しているというのが業界の常識だと思っていましたので、当初この現象を見て驚きました。大げさに言えば「ニュートリノが光速を越えた」ことに匹敵する（大げさ過ぎ）ような驚きでしたので
都道府県型JPドメインがCookieに及ぼす影響の調査
JPRSからのプレスリリース『JPRSが、地域に根ざした新たなドメイン名空間「都道府県型JPドメイン名」の新設を決定』や報道などで「都道府県型JPドメイン」というものが新設されることを知りました。 都道府県型JPドメインとは、現在活発に使われていない地域型ドメインを活性化する目的で、地域型ドメインの制約（ドメイン名が長い、一人・一団体あたり1つまで）を簡略化しようというもののようです。 しかし、現在の地域型ドメインは、ブラウザにとって処理がややこしいもので、IEなどは昔からまともに対応していません。このため、Cookie Monster Bugという脆弱性になっているという経緯があります。このルールをさらに複雑にすることになるということから、ブラウザセキュリティに関心の高い人たちが騒ぎ始めています。 そこで、高木浩光氏の日記「JPRSに対する都道府県型JPドメイン名新設に係る公開質問」の以
【重要】管理者ページセキュリティの修正と強化に関しまして | JUGEMお知らせブログ
平素はJUGEMに格別のご高配を賜り、厚く御礼申し上げます。 この度、PHPSESSIDが付与された管理者ページURLから外部サイトにアクセスした場合、 外部サイトのアクセス解析に残ったログから、お客様のブログ管理者ページに 他の方がログイン出来た可能性が判明いたしました。 お客様にご心配をお掛けする事となり、誠に申し訳ございません。 本件に関する詳細についてご報告させていただきます。 なお、この不具合に関しましては下記の条件下で発生することを 確認いたしております。 【弊社で確認した発生する条件】 （１）ご利用のブラウザのプライバシー設定が規定値より高く設定されていた場合 （２）セキュリティソフト等でCookieがブロックされてしまった場合 【第三者がログイン出来た条件】 上記（１）（２）のいずれかの条件を満たしたお客様が、JUGEM管理者ページ内から外部サイトへ 遷移した場合に、その外
SecurIT-Advisory 2000-001: Cookieを使用せずURLに埋め込むIDに頼ったセッション管理方式の脆弱性(1)
SecurIT-Advisory 2000-001 Cookieを使用せずURLに埋め込むIDに頼ったセッション管理方式の脆弱性(1) − REFERER情報取得による脆弱フリーメールサイトの乗っ取り問題 − 2002年6月25日: 再公開 2002年6月24日: 改訂（非公開中の改訂） 改定内容: 一部追記をした（「2002年6月24日追記」とある部分） リンク先URLの修正（移動したページ） 2001年6月12日: 改訂（非公開中の改訂） 改定内容: 文中の実名部分を削除し「〓〓〓〓」に置き換えた 2001年4月20日: 公開停止 2000年12月14日: 改訂 改定内容: 誤字および表現の訂正三件 2000年12月13日: 公開 目次 I. この脆弱性がもたらす危険性の実例 II. ユーザの皆様へ III. 開発者の皆様へ IV. この事実を公表することの必要性 I. この脆弱性がも
高木浩光＠自宅の日記 - 共用SSLサーバの危険性が理解されていない
■ 共用SSLサーバの危険性が理解されていない さくらインターネットの公式FAQに次の記述があるのに気づいた。 [000735]共有SSLの利用を考えていますが、注意すべき事項はありますか？, さくらインターネット よくある質問（FAQ）, 2010年2月10日更新（初出日不明） Cookieは、パスなどを指定することができるため、初期ドメイン以外では共有SSLを利用している場合にCookieのパスを正しく指定しないと、同じサーバの他ユーザに盗まれる可能性があります。 （略） 上記については、「同サーバを利用しているユーザだけがCookieをのぞき見ることができる」というごく限定的な影響を示していています。また、Cookieの取扱いについて、問い合わせフォームやショッピングカート等、ビジネス向けのウェブコンテンツを設置されていなければ特に大きな問題とはなりませんが、個人情報を取り扱われる管
ショッピングカート比較
※詳しくはメールでお気軽にお問合せください。また、サーバの選択も重要です。ショッピングカートが動くことを良く確かめてください！格安サーバ集などを参考にしてください。 サーバーには、大きく分けて、ＬｉｎｕｘサーバーとWindowsサーバーがあります。現在、Ｌｉｎｕｘサーバーが圧倒的に普及しており、レンタルサーバーランキングでも上位を占めているのはほとんどがLinuxサーバーですね。⇒レンタルサーバーランキング また、ＣＧＩはWindowsサーバーでも動かない訳ではありませんが(⇒設置のアドバイス)、多少の知識が必要です。自信がない方は、CGIが使いやすいＬｉｎｕｘサーバーを選ぶことをお勧めいたします。そうすれば誰でも簡単に設置でき、時間とお金の節約になります。⇒格安サーバー集 プログラム言語で、perlかphpかという問題もあります。phpの方が早さなどの点で優れているといわれています。しか
Cookie 今昔物語 - はてなるせだいあり
概要 Cookie の不幸な歴史と現状、そして将来についてまとめた。 仕様はどこにあるか Web 上の様々な規格は、誰かが定め、それに皆が合わせるという形で動いている。しかし、Cookie の仕様は誰が決め、どこで規定されているか知っている人は、意外と少ないのではないかと思う。W3C や IETF だと思っている人が多いのではなかろうか。 正解を言ってしまうと、定めたのは 1994 年、Netscape Communications 社であり、文書は http://wp.netscape.com/newsref/std/cookie_spec.html で公開されていた。アクセスしてみればわかる通り、このページはもう存在しないし、Netscape 社自体が AOL に買収されており、今は Mozilla になったというか、消えてなくなっていることを知っている人は多いだろう。当時の文書は例に
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CookieのDomain属性は *指定しない* が一番安全 - ockeghem(徳丸浩)の日記
Cookie Monster Bugの影響（金床本より）
404 Not Found
http://twitter.com/HiromitsuTakagi/status/23872582406
経路のセキュリティと同時にセキュアなセッション管理を：IPA 独立行政法人 情報処理推進機構
Client Side State - HTTP Cookies