<< 「ガジェット」に潜む罠 | main | 何をもって「安全」とし、何をもって「改善」とするか >>

スポンサーサイト

  • 2010.08.11 Wednesday
  • -
  • -
  • -
  • -
  • by スポンサードリンク

一定期間更新がないため広告を表示しています


mixi運営事務局さんに要望を出してみました。

  mixiさんのほうに、今回の一連の経緯を踏まえて問い合わせをしてみました。
(内容は続きのほうに記載します。)

 さて、これくらいのことでも実装して貰えれば、ある程度の被害を防ぐことができるかな、と思うのですけれどもね。

[xxxxxxxxx][mixi] お問合せの件について
(問い合わせ番号は削りました)

 今回の「空飛ぶ」さんの件に限らずなのですが、現状、mixiでは脆弱性を産みやすい仕様が2点ほどあると思います。

1)アプリの掲載について
 今回の件がまさにそうだったのですが、開発中のアプリであっても開発者のプロフィール画面に表示することはできてしまっていました。また、結果としてそれがセキュリティリスクに繋がった点はご理解いただけているかと思います。
 今回は「空飛ぶ」さんに悪意があった、というわけではないようですが、この仕様を悪意のある開発者に悪用されてしまうと、非常に危険ではないかと考えるのです。
 mixiデベロッパーセンターを拝見させていただいた限りでは、個人ユーザーであれば携帯電話の認証や住所の登録は必要であるものの、基本的に人手を介したレビューがないまま開発作業を行える段階まで登録できるように見受けられます。

 一番簡単な方法論として、例えばアプリがロードされた瞬間にJavaScriptなどを利用し、外部に用意した「mixiのログイン画面を模倣したサイト」リダイレクトで誘導し、そこでIDとパスワードを入力したらすぐにmixiのページにリダイレクトをするような仕組みを作ってしまえば、おそらく少なくない人数の人がそのフィッシングサイトに引っかかるでしょう。インターネット閲覧中に何らかのトラブルでcookieが消え、ログアウトされた状態になることを経験しているユーザーは世の中に少なくないですから。
 そういった危険なアプリを、開発者が自分のページに表示させ、たとえば多くのユーザーに足跡をつけてまわれば、少なくないmixiアカウントが蒐集できてしまうことは想像に難くありません。もちろんそれは違法行為ですし、mixi運営事務所さんも発見すればすぐに対処されるでしょうが、それまでの被害を防ぐことはおそらく不可能です。

 たとえ企業ユーザーであっても、それこそ改竄の影響や、あるいは企業内に悪意を持った開発者がいるだけで、現状の仕様ではmixiユーザーが被害を受けうる可能性が多分にあるのです。


2)アプリの通報や表示について
 現状、mixiアプリでは問題があるアプリであっても、そのユーザーでないと通報したり問い合わせができない、という仕様になっているようです。これに関して、mixiアプリは(特にPC版は)そのアプリの利用者でないユーザーの画面に表示されることもあることを鑑み、誰でも通報および問い合わせができるようにするべきではないかと考えます。少なくともプロフィールにガジェットとして貼り付けるタイプのアプリケーションは、ユーザーにならないと連絡も通報もできないのは致命的です。
 今回のようなセキュリティ問題が発生した時、mixi運営局さんが対処されるまでの間だけでもユーザーが自力で護身ができる方法を、何か用意していただかないと、例えばどこかのmixiアプリ開発者がHP改竄型のウイルス(所謂ガンブラーなど)に感染した時に、「自分以外のすべての人のプロフィールページを開くことにリスクが発生する」ことになり、結果として「mixiは危険なサイトだ」ということになりかねません。


 上記のような仕様によるリスクを最大限に防ぐため、以下の三点を実装していただけないか、ご検討いただきたく考えています。

一.どのような開発者であってもmixiさんの審査を得るまで、アプリを他ユーザーから閲覧できるところに表示させることはできないようにする

二.そのアプリのユーザーでなくてもmixi運営事務局さんに通報したり、開発者に問い合わせをできるようにする

三.特定のアプリケーションを無条件に表示させない設定を、各mixiユーザーが自分で行うことができるようにする
(これにより、「〜のアプリは危険だ」という草の根での情報さえ広がれば被害を防ぐことが容易になります)

以上、一度ご検討いただければ幸いです。


スポンサーサイト

  • 2010.08.11 Wednesday
  • -
  • 20:45
  • -
  • -
  • -
  • by スポンサードリンク

コメント
コメントする









この記事のトラックバックURL
トラックバック
calendar
   1234
567891011
12131415161718
19202122232425
262728293031 
<< March 2017 >>
sponsored links
selected entries
categories
archives
recent comment
recent trackback
recommend
links
profile
search this site.
others
mobile
qrcode
powered
無料ブログ作成サービス JUGEM