プードルも結構だけど、クッキーにセキュア付いてますか？

Hiromitsu Takagi @HiromitsuTakagi

SSL 3.0停止をアナウンスしているサイトをググって見ていくと、意外にも、ちゃんとsecure属性を付けているところが多いようだ。

Hiromitsu Takagi @HiromitsuTakagi

無印良品 SSL 3.0 脆弱性の対応について muji.net/mt/contact/oth… ちゃんとsecure付いてる。 pic.twitter.com/72eIKbDk37

拡大

Hiromitsu Takagi @HiromitsuTakagi

バンダイナムコ 【重要】SSL3.0の脆弱性に対する対応について bandainamcoid.com/info/141119 ちゃんとsecure付いてる。ゲーム業界は（被害も多かっただけに）ちゃんとしてるのかな。 pic.twitter.com/zaH1deKgxk

拡大

Hiromitsu Takagi @HiromitsuTakagi

日本年金機構 SSL3.0の脆弱性に関するお知らせ nenkin.go.jp/n/www/service/… 「ねんきんネットにおいて、…」 ここもsecure付いてる。普通に脆弱性検査を受ければ指摘されるからなあ、今時だと。 pic.twitter.com/sC8GcKVyPd

拡大

Hiromitsu Takagi @HiromitsuTakagi

総務省 電波利用 電子申請・届出システムLite 重要 SSL3.0の脆弱性について denpa.soumu.go.jp/public2/news/ ここもちゃんとsecure付いてますなあ。当然かと。 pic.twitter.com/EvR2R8uQHv

拡大

Hiromitsu Takagi @HiromitsuTakagi

ダメな例がニコニコ動画しか見つからない件。 twitter.com/hiromitsutakag…

Hiromitsu Takagi @HiromitsuTakagi

おや、ニコニコ動画が一丁前にSSL 3.0を停止しているが、肝心の画面で、cookieにsecure属性がないね。 blog.nicovideo.jp/niconews/ni049… pic.twitter.com/CiGU0Zx4bQ

2014-12-14 20:22:26

KOIZUKA Akihiko @koizuka

フルhttps化できてないと辛い

Hiromitsu Takagi @HiromitsuTakagi

んなこたーない。 twitter.com/koizuka/status…

Hiromitsu Takagi @HiromitsuTakagi

他のやり方もありますが、昔から言われていたことであり。 soi.wide.ad.jp/class/20030011… 「2つのセッションIDを使う (a)のcookieを盗んでも、https:// のページには入れないようにする」

Hiromitsu Takagi @HiromitsuTakagi

安全なウェブサイトの作り方 ipa.go.jp/security/vuln/… 「1.4 セッション管理の不備 HTTPS通信で利用するCookieにはsecure属性を加える。」 ずっと言われていたことなわけで。

Hiromitsu Takagi @HiromitsuTakagi

OCNユーザの方、確認できますか。 security.slashdot.jp/comments.pl?si…

でぃーあきさん @d_aki

@HiromitsuTakagi こんな感じです pic.twitter.com/esh1WsSiGu

拡大

徳丸 浩 @ockeghem

OCNメールのCookieにセキュア属性がついていないと話題になっていますが、そもそもOCNメールはHTTPでも普通に使えるようで、そりゃセキュア属性つけられないよね、と pic.twitter.com/Udl7BeFs3z

拡大

Hiromitsu Takagi @HiromitsuTakagi

金融機関はさすがに全サイトsecure付いてるはずだよね、さすがに。

Hiromitsu Takagi @HiromitsuTakagi

あなたの利用サイト、クッキーにセキュア付いてます？ Safariで確認 ①ログインし、登録情報変更の画面へ行き、https://であることを確認 ③コマンド+オプション+Iで「Webインスペクタ」を表示 ④リソースでcookieを選ぶ ⑤「保護」にチェック有りが1個以上あるか

徳丸 浩 @ockeghem

2005年くらいだとクッキーのセキュア属性ついている方が珍しい感じでしたが、現在はかなりセキュア属性ついているサイトが増えましたね…と言っても、まだまだ…