RS2のセキュリティ強化についての話isidai2013年4月22日022ゲヒルンでは2月25日にサポートセンターにて、『[RS2]セキュリティ強化によるファイアウォール機能の仕様変更について』というお知らせを掲載しました。今回は、この仕様変更の理由について記事を書きます。ポートの接続制限の強化この仕様変更の内容は、ポートの接続制限の強化でした。従来よりアカウントごとに3つのポートを割り当てて外部との通信を許可していましたが、これによりCookieが意図せず漏洩する脆弱性を作り出していました。RS2では、ユーザがTCPソケットやWebSocketを利用するときのために外部との通信を許可していましたが、比較的簡単な手法で攻撃が成立するため安全性を優先して接続制限を行いました。Proxy、TCPソケットなどの通信を利用しており大変ご迷惑をお掛けしてしまいました。「意図せずにCookieが漏洩する」この「意図せずにCookieが漏洩する」ということについて説明します。いうルールがあり、「スキーム、ホスト、ポート」の組み合わせをオリジンといいます。StorageCanvasなどが、このオリジンの制約を受けるものです。iframeやframeタグで外部のサイトを自サイト内に表示する場合にはX-Frame-Optionsもオリジンの制約を受けます。(設定をSAMEORIGINにした場合)しかし、Cookieはこのオリジンの制約を受けず、通常はポート番号やスキームを意識しません。ホストはdomain指定、スキームはsecureフラグというのもあるのですが、ポート番号については指定することができません。実は、ポートも指定できる「Cookie2」というものがあるのですが全然普及していないので、Cookie2を使用することは今回の脆弱性を塞ぐ手立てにはなりませんでした。その他の要因についてその他にも要因があって、共用サーバ特有の複数ユーザが同一IPアドレスを使用していること、他のユーザが任意のポートでHTTP通信が行えるという条件が揃うと今回の問題につながります。いうサイトを運営しているときに、悪意のあるBが同一サーバ上の8080ポートでHTTPサーバを立てて通信できる状態にしていたとする。Cookieが漏洩したり、任意のCookieをセットできてしまうという問題です。通信は80番の正規のWebサーバではなく、悪意のあるBの8080番のWebサーバに繋がってしまいますが、ブラウザはスキームもポートも関係なく、ドメイン名が一致するCookieを引き渡してしまうということが発生します。8080番につながった時点で正規のWebサーバがもつバーチャルホスト機能なども全く意味がなく、さらに8080番の悪意のあるサイトが80番そっくりなサイトになっていれば、そのままフィッシングも可能になります。使用するなどの対応も検討しましたが、すべてのユーザがその勧告に従うことは無理であるため、一部のユーザには不便をお掛けすることも承知で、根本的に解決できるポートの制限に踏み切りました。Cookieとブラウザの挙動で別ポートにCookieを送ってしまう問題すこし内容は違うのですが、根本的なCookieとブラウザの挙動で別ポートにCookieを送ってしまう問題は2003年にIPAが示しています。ポートを閉じる必要があることが判明しましたので、上記の例外的な対策は成立しないことが判明しました。リクエストとして送信してしまうからです。ユーザが発見・報告をくださり解決することができました。この場で恐縮ですが感謝申し上げます。今後ともどうぞよろしくお願い致します。小学6年から自宅サーバを使ってレンタルサーバサービスを始める。セキュリティ・キャンプの参加をきっかけにセキュリティを学び始める。現在はセキュリティ・キャンプ実施協議会の顧問と企画実行委員を兼任。2016年よりさくらインターネット株式会社フェローも兼任。開始してからちょうど半年です。こと技術開発部技術局の吉田昂平です。新規セットアップする手順について記述しています。移設する手順について、記述しています。WordPress.。