CSS Nite in Ginza, Vol.52 「Web制作者に贈る Webのセキュリティ3つの誤解」

• Microsoft製品は Microsoft Update を行う。
• MyJVNバージョンチェッカ(jvndb.jvn.jp)。
• Adobe ReaderはJavaScriptオフ(internet.watch.impress.co.jp)に。しかし、JISが見られなくなってしまう(bakera.jp)。

• 暗号化されていないFTPをやめてSCPやSFTPへ。
• パスワードを保存しない。
• ファイル転送専用の端末を用意する（感染防止のため）。
• JPCERTの注意喚起: FTP アカウント情報を盗むマルウエアに関する注意喚起(www.jpcert.or.jp)

• IPアドレスで接続元を制限する。

• Cookieの説明で「ハードディスク【謎】に書き込む小さな【嘘】データファイル」。
• "ウェブサイトを訪問したときに、そのウェブサイトがユーザのハードディスクに書き込む小さなデータファイル"でGoogle検索(www.google.co.jp)すると…。

決して小さくはないし、そもそもファイルサイズの大小はセキュリティ的に関係ないのでは?という話。

• 有効にする必要はない。最近のブラウザは（通常の設定では）そもそもできない。
• とりあえず「SSL」と名の付くものは有効にすれない良いと思っている? TLSのことは知らない?
• 「ぜんぶ有効」はダメ! ゼッタイ!

• 128bitが最強だったのは太古の昔の話。
• 仮に最強だったとして、その意味をユーザーが理解できるか。

128bitが最強などと嘯くだけならともかく、実際に使われている方式と説明が異なることもありますね。

たとえば「りそなダイレクト」では、セキュリティQ&A (1)(www.resona-gr.co.jp)で128ビットSSL（Secure Socket Layer）による暗号化を実施しています。(www.resona-gr.co.jp)と説明しておきながら、ログインページ(ib.resonabank.co.jp)で証明書を確認すると TLS1.0 による 256bit AES となっています。こうなると、もう完全に嘘ですよね…。

• 暗号化されていなければ意味がない。
• その確認はユーザーが行うもので、運営側でできるものではない。

個人的には、「安心してください」と言われた場合はむしろ疑ってかかった方がよいとさえ思います。少なくとも、私が疑念を抱いて問い合わせた中で、本当に安心して良かったケースは今のところ一つもありません。

• Cookieでは技術的に個人を識別できる。
• ポリシーなら「識別できません」ではなく「識別しません」では?

• IEで「スクリプトによる貼り付け処理の許可」を有効にしてはいけない。IE7以降はデフォルトが「ダイアログを表示する」に。
• 「アクティブスクリプト」だけ有効にすれば充分。
• 「ぜんぶ有効」はダメ! ゼッタイ!