部門よりWebブラウザの自動入力機能を悪用して個人情報を盗む手法が公表された。Computer、GIGAZINE、Slashdot)。Webブラウザの自動入力機能は、住所やクレジットカード情報などをあらかじめWebブラウザに登録しておくことで、Webページ上のフォームに自動的にそれらを入力するというもの。今回公表された実証コードでは、画面上に見えないようにフォームを配置し、さらにJavaScriptを使ってフォームに値が入力されたらそれらを自動的に処理するようなコードを組み合わせるというもの。公開されているデモでは「Name」および「Email」入力フォームのみが表示されており、送信されるのは名前およびメールアドレスだけのように見えるが、電話番号や住所などを入力するフォームも見えないように配置されており、Webブラウザにこれらの情報が登録されており、さらに自動入力機能を利用した場合はこれらの情報も自動的に入力されて送信されてしまう。Safariでは自動入力の際に入力するデータをユーザーに確認する仕組みになっており、また、Firefoxではユーザーが自動入力するフォームを指定する必要がある。そのため、これらブラウザでは悪用は難しいようだ。なっておらず、その後全然関係ないサイトでクレジットカードじゃない情報を入力しようとしたときにクレジットカード番号が表示されたことがあった。なっておらず、その後全然関係ないサイトでクレジットカードじゃない情報を入力しようとしたときにクレジットカード番号が表示されたことがあった。あっても効かないことがあります。設定されている場合でも、ブラウザはオートコンプリートを行うことがあります。この予想外の挙動に開発者は戸惑うかもしれません。するというトリックを用います。自動的に代入される文字列の種別を指定するようなので、そこにダミーの値を入れることで比較的新しいブラウザだと、自動代入が無効になるのでしょう。ダミーのランダムな値を指定しておくと良いかもしれません。他のサイトで同じ値が設定されるとブラウザによってはそっちに自動フィルされるかもしれないので(未確認)、毎回違う値を自動生成した方が安全かも。部分は毎回変わるランダムな値)。Web標準仕様は更新が頻繁で追従が困難なので、オートフィルについてはWebサイト製作者がどうにかする問題ではなく、ブラウザの製作者かその利用者がどうにかするべきだと思います。あり、ブラウザのオートフィル用にクレジットカード番号であることを明示的に指定してあげているようです。現実にこれがどう扱われるかは、ブラウザの実装次第ですね。Cowardこれ、ほんとどうにかしてほしい。不便にしたいケースで非常に困っている。こんなところでトリック使いたくない。13時34分(#3143503)日記ブラウザという他人の都合に振り回されないようにするため、自社用アプリを作るのです。18時49分(#3143018)他はそういう悪意ある手法に対して既に対抗できる設計になってるが、chromeはその辺考慮が浅くてザルだったって事じゃん。Googleしっかりしろよ。Cowardブラウザ握ってんだから誰でも覗ける穴なんて作らなくてもやろうと思えば取り放題でしょうに。Coward部門名にある通り結構シンプルな手口に見える。これをChromeの開発者が予想できなかったとはちょっと思えないくらいに。あの技術力のGoogleのだから、Chromeは比較的安全なブラウザと思い込んでる所があるが、認識を改めたほうがいいのかも。Coward標準規格にある機能ならともかく、独自機能ですからねえ。IEには該当機能がないので問題にならない。いつものIEと立場が逆転しましたね。CowardChromeの独自機能が引き起こした製品固有の脆弱性なんだから、そう書くべきだ。「Webブラウザの自動入力機能を悪用して」って、なんだこのタイトル。これがMicrosoft製品なら必ずタイトルにつけて煽るくせに。CowardアンチAppleがよく出現するのはお決まりだけど、最近何でもかんでもMicrosoftに絡めて炎上させようとしてるこの人はなんなんだろう。MS擁護したいのか着火したいのか。現在のしきい値以下です。7時48分(#3143283)最近はそういう余計な機能をいちいち殺してからでなきゃアプリケーションを使い始められなくて不便でしょうがない。...とおもったら、わざわざブラウザにカード番号を登録するのかよ。そんなの使う奴が悪いわ。Cowardあからじめいう手も勝手に覚えるんやでより多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。(わざとやるとき以外は)。service.閉じるスラド読み込み中...。