プラスメッセージにおける証明書検証不備についてhttps://jvn.jp/jp/JVN37288228/平日の業務時間内に見つけた問題である関係で(自分ルールで)所属を入れていますが、他社サービスに対する調査や報告は業務とは一切関係のない個人の活動として行っています。文責はmala個人にあります。お問い合わせなどありましたら個人宛にどうぞ。e.mdもう5年も前の話になっていたのだけど、Echofon(Twitterクライアントの一つ)の件を今更だけど書かねばならない。他のEchofon利用者に対して送られるpush通知(DMやreplyなど)を横取りすることが出来た。このセキュリティホール自体は素早く修正されたのだけど、この件をきっかけに、クライアント/サーバーの境界線が曖昧になっている、という問題を強く意識するようになった。o.md調べたこと通信をキャプチャして調べた。似たようなことをしている人が既にいて仕組みについてはサービス提供者側が説明されているとおりだった。http://www.orario.jp/system/https://twitter.com/mage_1868/status/853992239369830404https://twitter.com/mage_1868/status/854028454081159169IDパスワードはネイティブUIで表示して、html中のどこに入力するかなどはリモートから受信するjsで定義している。難読化や独自の暗号化などがされているわけではない。autofill_ui.md見た目の上で、隠されているフィールドに対しても自動入力してしまうという問題が話題になっている(2017年1月)https://github.com/anttiviljami/browser-autofill-phishingのだけれど、この問題の歴史はとても古い。自分も調査したり問題を報告したりしているので、振り返ってみる。00.md要約サンドボックスドメイン上に記録されたcookieを使って、ユーザーの限定的な訪問履歴を取得したり、検索キーワードを取得することが可能です。検索エンジンや翻訳サービスなどで、他のサイトのコンテンツをproxyして表示する機能があると、単独では問題がないJavaScriptによるcookieを読み書きするコードが、同一のdomain上で実行されることになり影響が大きくなる場合があります。4年前に報告したものですが、今でも影響があり、多くのサービスは未対策または対策が不完全です。http://subtech.g.hatena.ne.jp/mala/20120709/134181964年前だと古いブラウザでは使えない状況だったが、今では無視して良いだろう。headersにポリシー違反の挙動があります。対して、難読化されたscriptが埋め込まれています。外部のjsコードを挿入します。この機能はユーザーに対しては説明されていません。webサイトに対して実行されるscriptは、少なくとも広告やURLのtrackingが含まれています。サイトによって挙動が変わったり、後から変更される可能性があります。経過した後に有効化されています。