UnderForge of Lack

Firmware Update for STM31000334AS, STM3640323AS, STM3320614AS, STM3160813AS [207975]

日本には馴染みの無い DiamondMax 22の以下の機種のファームウェアが公開されました。

---------------------------
リダイレクトは悪か？

めったに使わないブックマークを何気なくチェックすると
「2秒後に http://www.hogehoge.xxx/hogepage.html 」に自動転送されます。
といって何となく転送されてしまうことはよくあると思います。

ところが、（私が推奨している）Firefoxでは

のようにブロックしてしまいます。

これが「ウザイ」ということで
他のページへの自動転送ブロックをOFFにしたい
という人も多いようです。

「利便性と安全性は反比例する」

---------------------------
そもそも、何故自動転送のブロックを行っているのか？
という部分の認知度がイマイチ低いのも原因ですが

悪用されたマイクロソフトの「オープンリダイレクター」

オープンリダイレクタは
（これは例です）
hxxp://www.microsoft.com/redir.adp?_MD5_3g**************************2gf&_url=hxxp://malice.net/*******/

のような感じで、一見すると Microsoft.com のように見受けられ、実際に飛ばされる先は悪意サイトということがありました。

例が正しいかどうかはわかりませんが
「【緊急】　個人情報が漏洩する危険性 - 大 - Microsoft社が修正パッチを配布！」
のようなタイトルでページを作って
（これは例です・実際には跳べません）
http://www.microsoft.com/の詳細ページ
hrefの中身
<a href="http://www.microsoft.com/redir?url=http://virus.com/infected.html">
のようなリンクを作って、無警告状態だったらどうなるでしょう？

（リダイレクタが機能していれば、http://virus.com/infected.htmlにすっ飛ばされます）

iframeにしても同様で、自分で作っておいて何ですが・・・
http://www3.atword.jp/gnome/seagate-issue-guide/#p03
ここの例のように、iframeでSSLセキュで守られた（？）ページを iframeで開いてフォーム入力をさせているわけですが
もし、このアドレス先が全く違うサイトなら、シリアル番号情報をフィッシングされてしまうわけです。

コレがもし、住所氏名だったら？

というところに、リダイレクタ・自動転送・iframeに気をつけないといけない意味があります。

---------------------------
でも結局、「許可」を押して飛んじゃうよね？

そのとおりなんですよね
例えば、
「ページが切り替わらない場合には「ココ」をクリックしてください」
のような形で対策（というほどの事でもありませんが）を取っているとこは良いのですが

「跳んで見ないと URL先がわからない」ため、
盲目的に「許可」を押してしまっている人も多いかもしれません。

httpでの「別に暗号とかどうでもいい」pageならともかく、そうした危険にたいして弛緩した状況を作ってしまうと、思いがけないフィッシングに引っかかる可能性もでてきます。

じゃ、リファラを全部切ればいいじゃない？
とか言われると困るのですが・・・
FC2ブログのように、リファラでパイプ処理を行っているところですとページ内ジャンプができなくなったりしますし、（退会してから使ったことないので詳しくは知りませんが）mixiあたりも障害が出るのでは？

企業としてセキュリティ向上を標榜しているようなところでは
メッセージ認証コード (MAC)を組み込んだリダイレクトを実装しているところも有ります。

もっとも、「オープンな」リダイレクタをサーバ内に実装する必要性があるかどうか？という原則的な部分に立ち戻って考えることが必要なのかもしれませんが


---------------------------
結論？

まず、Firefoxですが
転送ブロックに「ブロック先URL」をつけて欲しいかも・・・

あと、許可制に柔軟性が欲しいかな
Firefox3 における自動転送警告の例外設定
同じ事を考えている人がいらっしゃいましたね

例えば、オートリロードで何度も読み込ませるような処理のブロックがありますが
WEB-CHATには必須の機能ですから、そういうところを多用する人は、どうしてもこうなってしまいます。


で・・自己防衛を旨とする我が（マゾ）クランメンバーとしては

Firefoxアドオン「Redirect Remover」
を使ってみるのも良いでしょう。

コレはリンクにリダイレクトが入っていると
「汚れたサイト」（誰だこんな翻訳したのは・笑）と警告し、
リダイレクト部を取り除いた「キレイナサイト」（以下略）に変換してからリクエストを送出します。

リダイレクタとして安全だと確信できるサイトは「ホワイトリスト」として登録できます。

私も使い始めて１日なので、様子見ですが・・・

※オートリロードとリダイレクタは、一見似ていますが全く別の要素ですので注意してください。


---------------------------
他の知識
Googleが無断リダイレクトに警告 -- /.J 2007.01

悪質なFlashリダイレクタ -- ITPro 2008.09

生粋のハッカーに学ぶ、メールの攻め方守り方 -- @IT 2009.01

リダイレクタの存在は脆弱性か？ -- 高木浩光氏 2005.12

---------------------------
短縮URLサービスと組み合わせて悪用されたらどうするんだ？
次回までに調べておきます・・・

EoF

BTW..
トレンドマイクロのblogより・・・
お茶噴いた
攻撃手法の変遷を追跡：有名人ゴシップスパムメール
まぁ、実際の手口を記述するのが重要なのは確かですね（笑）

@Wordに
FTP なんかやるき無いならメニューから消せば？
ってイヤミ言ったらホントに消した（笑）

FTPが順次使えるようになるとおもって、ココを選んだわけですが、
こうなった以上、wordpress.comでも同じなわけでして・・・

Plugin増やす気もなさそうですし、
なんか妙なサーバプログラムを走らせる気マンマンな今回の騒動ですので
移転（というか出戻り）準備中です

Seagate騒ぎも一段楽したので丁度良い機会かもですね

-----------------
http://gnomeant.wordpress.com/
移転先が定まらないのでペンディングします
（いろいろ相談中）

ここは色々問題もあるんですが、ガードも甘いので
色々妙なこともできたりするのはないしょです（笑）
さすがに wordpress.com は、XSS的な手法が、ほぼ全て塞がれてて
遊び難いのは事実・・・・