PreSharedKeyを共有(公開)していると、キーを知っている悪意のある者になりすましAPを作成され放題なので、APの真正性を別の方法で確認しなければならないという問題と混同していました。公衆無線LANならWPA(2)-PSKに接続した後にWebブラウザでのユーザ認証があるパターンも割とあると思いますので、そこでHTTPSのSSL証明書を検証すれば大丈夫ですね。Coward>素性の分からないAPには接続しないこれはもちろんそうなんだけど、例えば家庭で誰かがこれを使えば家族のセッションも盗めちゃうわけで。サービス提供者が全HTTPS化するくらいしか解決策はないんじゃないかな。[srad.jp]の事故はサイト側の問題とする立場と一貫性がない。Cowardしょうがない。議論したいんじゃなくて叩きたいだけなんだから。認証後はcookieにセッションID突っ込んでhttpでやってるから、sniffingされるとcookie見られてセッションハイジャック完了って事ね。途中経路のハブに物理的に干渉出来るならWiFiも関係しない。これまでもsnifferとBOOKMARKLETだけあれば簡単に実現出来てる話。問題にするのもおかしいしログアウト状態を除いてすべてhttps化しろって話。使ってると単純にはSSL化できません。何の新規性もないしこの件に新規性がないということ自体に注目すべき。(#1849286)前から不思議なんだけど、なんでコンピュータ系のセキュリティ屋は頼みもしないのに俺様が正しい的ドヤ顔でやってくるのがデフォなんでしょうか?実生活における脅威度で言えば、玄関の鍵のピッキング脆弱性のほうがはるかに上じゃないですか。いって、鍵屋が第三者の家にいきなり来て勝手に開錠し「ほら、あなたのうちはこんなに危険なんですよ」とか自慢げにいいませんよね?というか、普通に逮捕されるし、それ。Cowardセキュリティホールが造られているのを目のあたりにしつつ、何も言わせてもらえないだけでなく、責任だけ押し付けられるからだと思います。全日空機ハイジャック事件を引き起こしたとお考えにならないのでしょうか?なるほど。その事件を引き起こしたのは、以前から空港のセキュリティホールについて(頼まれもしないのに)指摘し続けていた人でしたね。「頼みもしないのに俺様が正しい的ドヤ顔でやってくる」人物は聖悪的思考に基づき、潜在的なセキュリティ脅威として問題にするべきという意見だと理解しました。貴重なご意見ありがとうございます。・メーカーに製品の改善を要求している。こんな感じじゃない?より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。service.閉じるスラド読み込み中...。