安全なWebアプリの鉄則2005復習あり、新しい話ありで充実した内容でした。時間配分が...Cookie固定の話題については、高木さんの発表とは別に、某言語の標準ライブラリで、サーバがセッションIDを発行する前にクライアントからセッションIDを渡されると、それを採用してしまうという問題があったのを思い出しました。あと、まぎらわしくないドメイン名を使うという指摘もありましたが、業者が自分のドメインに対してそうするのは当然として、悪意のある第3者がまぎらわしいドメインを勝手に取得することについては防ぎようがないよなあと思ったり。そのドメインで、夜のBoFで星澤さんが発表したような、警告の出ない証明書を取得されたらどうするのかというのは、前にも指摘しましたが、大きな問題だよなあと改めて感じました。ネット事業の法的リスクこれは今の仕事と見事に絡んでいて、非常にためになるセッションでした。法律の話から始まり、個人情報の漏洩が起きてしまったときの対処の話、著作権の話、ECサイトと法律の話と続き、メインとして、いわゆるプロバイダにおいて、自社のユーザーが違法情報を公開している可能性があるときに、どういうリスクがありどういった対処をすべきかという話でした。最後のやつは違法情報媒介というそうです。1発目はオライリーの方による技術系出版の現状について。オライリーから萌え本を出すことを一瞬だけ考えたが、提案する勇気はなかったというお話に妙に納得。2発目は星澤さんのフィッシングにかんするプレゼン。さまざまな方法の紹介の中に、高木さんの項で触れた正規の証明書を取得したフィッシングサイトの話もありましたが、会場では特に反応なし。星澤さんも認証局側の問題だと思うと言っただけで流していましたが、例えば、QuickSSLとかは、admin@【ドメイン名】にメールが届きさえすれば、証明書を発行しますということを堂々と書いています。本当にそれ以外に確認作業があるのかどうかは、実際に証明書を入手してみないと分かりませんが、ほとんど確認なしで証明書を乱発する認証局が存在すると、今のWebセキュリティの枠組みが根本から崩れかねないと思うのですが、みんなスルーしているところを見ると、私が何か勘違いしてるのかなぁ。