一部のセキュリティ専門家の認識と対策レベルのギャップ ――XSSは本当に煽られすぎているか?
世間の認識と脅威レベルのギャップ――XSSは本当に危ないか? − @IT
という記事を読んで、不安になった。
この記事を真に受けて、事前の対策より
「やられてしまったら営業担当者1人に謝罪に行かせ」
る方を選ぶサービス提供者が出て来たらどうしよう?
利用者にも、
「脆弱性があっても大事には至らないものらしい。
専門家が煽りすぎだと言うんだからそうなんだろう」
なんて安心してしまう人がでてきてしまったりはしないかな?
まずは、本当に今が
「そろそろ終わりにしなければなりません」
と啓蒙しなければいけないほど、
「XSS をあおりすぎ」
で、XSS 対策に
「過剰に投資」
している時代なのかどうか、検討しないと。
というわけで、以下は参考情報。
<表1>最近一ヶ月以内に、XSS脆弱性の存在を確認したサイトの一部
※注意
- あくまで
「脆弱性って、ほんとにどこにでもあるんだね」
程度に認識してもらうための情報です。 - ここに載っていないサイトには脆弱性がないわけではないです。
- ここに載せたサイトが他より特に危険、ということではないです。
- 適当に目に入ったサイトを検査してみただけなので、ジャンル等に偏りがあります。
- 一部を除いて、サブドメインは明記していません。
(他のサブドメインにも影響がある脆弱性が多いかも)
※脆弱性があるけど除外したサイトの基準
サイト名, 会社名など | ドメインなど |
---|---|
はてな | hatena.ne.jp |
Yahoo! Japan | yahoo.co.jp |
ライブドア | livedoor.com |
goo | goo.ne.jp |
BIGLOBE | biglobe.ne.jp |
So-net | so-net.ne.jp |
WIRELESS GATE ワイヤレスゲート | wi-gate.net |
エキサイト | excite.co.jp |
DoTV | dotv.jp |
FC2 | fc2.com |
サイボウズ・ドット・ネット cybozu.net | cybozu.net |
Technorati | technorati.com |
テクノラティジャパン | technorati.jp |
SiteCatalyst | omniture.com |
Ask.jp | ask.jp |
kizasi.jp | kizasi.jp |
All About Japan | allabout.co.jp |
J-CASTニュース | j-cast.com |
2NN 2ちゃんねるニュース速報+ナビ | 2nn.jp |
朝日新聞 | asahi.com |
読売新聞 | yomiuri.co.jp |
イザ! | iza.ne.jp |
日本テレビ | ntv.co.jp |
フジテレビ | fujitv.co.jp |
スカパー! | skyperfectv.co.jp |
講談社 | kodansha.jp |
講談社コミックプラス | comic.bitway.ne.jp |
集英社 | shueisha.co.jp |
翔泳社 | shoeisha.com codezine.jp enterprisezine.jp markezine.jp moneyzine.jp careerzine.jp pminfo.jp |
ITMedia | itmedia.co.jp |
@IT アットマーク・アイティ | atmarkit.co.jp |
IT-PLUS | it.nikkei.co.jp |
CNET Japan | japan.cnet.com |
ZDNet Japan | japan.zdnet.com |
インプレスダイレクト | direct.ips.co.jp |
JASRAC | jasrac.or.jp |
トーハン | e-hon.ne.jp me-hon.ne.jp |
アドビ | adobe.com |
アップル | apple.com |
ニコニコ動画 | nicovideo.jp |
pixiv ピクシブ | pixiv.net |
魔法のiらんど | tosp.co.jp |
MobileSapce モバスペ | m-space.jp |
カフェスタ | cafesta.com |
ハンゲーム | hangame.co.jp |
Match.com | match.com |
ジャパネットたかた | japanet.co.jp |
ショップチャンネル | shopch.jp |
ビットウェイ | bitway.ne.jp |
グッドスマイルカンパニー | goodsmile.info |
ホビージャパン | hobbyjapan-shop.com |
ショップサーブ | shopserve.jp |
ホットペッパー | hotpepper.jp |
SourceForge.JP | sourceforge.jp |
SourceForge.net | sourceforge.net |
シックスアパート Six Apart | movabletype.jp |
TypePad | typepad.com |
VOX | vox.com |
seesaa | seesaa.jp |
グローバルサイン | globalsign.com |
アスナル | asnal.com |
freeml フリー・エムエル | freeml.com |
JWord | jword.jp |
MARS FLAG | marsflag.com |
ロリポップ! | lolipop |
ムームードメイン | muumuu-domain.com |
JUGEM | jugem.jp |
カラメル | calamel.jp |
3ミリ | 3mm.jp |
カラーミーショップ!プロ Color Me Shop! pro | shop-pro.jp |
さくらインターネット | sakura.ad.jp |
トッパン・マルチソフト | tms.co.jp |
EC-CUBE*1 | - |
CombzMail*2 | - |
基本的な検査をしていたら発見できるはずのものがほとんど。
元記事が載っている @IT や、記事で触れられている EC-CUBE にも脆弱性があるのが、実に残念だったりするわけで。
<表2>数ヶ月前から数週間前の間に脆弱性を確認していたけど、今回改めて確認してみたら、改修されていたサイトの一部
サイト名, 会社名など | ドメインなど |
---|---|
mixi | mixi.jp |
Yahoo! | yahoo.com |
eBay | ebay.com |
はてな | hatena.ne.jp |
Adobe | adobe.com |
ニコニコ動画 | nicovideo.jp |
ハンゲーム | hangame.co.jp |
2NN 2ちゃんねるニュース速報+ナビ | 2nn.jp |
IBM | ibm.com |
スペースアルク | alc.co.jp |
価格.com | kakaku.com |
表1, 2 の両方に載っているサイトは、
「脆弱性対策以外の理由でサイトが改修されて、たまたま元々あった脆弱性がなくなったけど、新たに別の脆弱性が出て来た」
とか、
「発見された脆弱性にだけ対処する改修をした」
とかいうことなのかな?と思える物が多いです。
もちろん、
「リスクに見合わない多大な投資をして、XSS 脆弱性の検査をしたけど、無念にも発見しきれなかった!」
というサイトも含まれているかもしれないけど。。。
つい最近改修された mixi については、改めて日記を書けたらいいな、と思っています。