wktk

GitHub Flow

31 Aug 2011

git-flowの問題点 (Issues with git-flow)

Cookie Syncの調査メモ

RTB周りで使われているというCookie Syncについて興味がわいたので調べてみる。

http://www.scaleout.jp/26992/

DMP-DSP間

Quoraから。

どういう問題があったか

説明するのめんどい http://vividcode.hatenablog.com/entry/twitter-oauth-vulnerability

どういう対策がされたか

第一段階: locationヘッダでの自動リダイレクトからmetaタグでのリダイレクトに変更(X-Frame-Optionsが効くので、iframe総当り攻撃が困難に)
第二段階: https://dev.twitter.com/blog/changes-to-sign-in-with-twitter

とりあえず即座に攻撃できるような状態ではなくなっています。

フィッシング？

https://gist.github.com/mala/5062931

の続き。

Twitterの人に色々と問題点は伝えたんだけど、これからOAuthのサーバー書く人や、クライアント書く人が似たような問題を起こさないようにするために、どうすればいいのかについて簡単に書きます。既存の実装真似して作るとうっかりひどい目にあう。

自分は意図的に「Twitterの脆弱性」という表現を使わないように気を使っていて、それはクライアントアプリ側の責任もあるからなのだけれども、安全に実装するための方法がわかりにくかったり誤解を招きやすかったり、Twitterに買収されているTweetDeckにも問題があったりしたので、それはやっぱりTwitter側の責任の比重が大きいとは思う。とはいっても別に責任を追求したかったり◯◯はクソだといったことを言いたいわけではなく、誰が悪いとか言う以前に、複合的な要因によって問題が起きるときには原因を正しく理解する必要があると思う。

そもそも何を担保に安全性を保証しているのか

サーバー側で秘密の鍵を持っている(それが無いとアクセストークンを取得できない or 使えない)

	<?xml version="1.0" standalone="no" encoding="UTF-8"?>
	<!--?xml-stylesheet type="text/css" href=".css"?-->
	<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

	<svg width="1000" height="1200" viewBox="0 0 1000 1200" xmlns="http://www.w3.org/2000/svg">
	<style type="text/css"><![CDATA[
	text{
	font-family:'ヒラギノ角ゴ Pro W3','Hiragino Kaku Gothic Pro','メイリオ',Meiryo,'ＭＳＰゴシック',sans-serif;
	text-anchor:middle;
	fill:black;

	#!/usr/bin/ruby -Ku

	require 'uri';
	require 'net/http';
	require 'rexml/document';

	class Negatibot
	def initialize
	@message = nil
	@dt = Time.now;

	#!/bin/bash

	LANG=ja_JP.utf8

	pid=$$
	date=`date '+%Y-%m-%d-%H_%M'`

	outdir="."

	if [ $# -le 1 ]; then

	$ curl https://api.github.com/zen \| octocatsay

	MMM. .MMM
	MMMMMMMMMMMMMMMMMMM
	MMMMMMMMMMMMMMMMMMM ______________________________
	MMMMMMMMMMMMMMMMMMMMM \| \|
	MMMMMMMMMMMMMMMMMMMMMMM \| Practicality beats purrrity. \|
	MMMMMMMMMMMMMMMMMMMMMMMM \|_ __________________________\|
	MMMM::- -:::::::- -::MMMM \|/
	MM~:~ ~:::::~ ~:~MM

	<?php
	require_once './tmhOAuth.php';
	/*
	* ■ 設置方法 ■
	* 1, tmhOAuth.php をネットから拾ってきて、このファイルと同じディレクトリに置く。
	* 2, このファイルにある、下の設定項目を埋める。
	* 3, 鯖にうｐして、cronで定期的に叩く。
	*
	* 以上の手順でプログラムを動かすと、お好みの間隔で定期的にリムーブした者の一覧がメールで配信されます。
	*/

	# 少し凝った zshrc
	# License : MIT
	# http://mollifier.mit-license.org/

	########################################
	# 環境変数
	export LANG=ja_JP.UTF-8


	# 色を使用出来るようにする