a person powered by ototoy blog

モヘンジョだろ!!

白トリュフ祭。Messorioが高価だったので、Scrio 1999にしました。年一だけど、こういうのはあった方がいいと思った。

親切にもIPAに脆弱性の報告をしてくださったかたが複数いらっしゃるようで、昨日、今日とメールでの連絡が相次いだ。不思議なことにIPAからの連絡は午後一発だけで、いくら即答しても、その返答は翌日の午後になる。しかも、結構人手をかけて一件々々処理してる感じがする。というのは、本当なら完全に機械化されていてもいいはずのインシデントの項目が、一回目の報告と翌日の詳細報告で微妙にずれてたりするから、どういう障害なのかいまいちはっきりしないなぁ、と報告を受けた方はプチ混乱するような処理だったりして、ちょっとポポえましい。

とりあえず、XSSとSQLインジェクションは現状、ほぼ大丈夫な状態になってると思います(完璧と断言できないのがつらいところですが)。少なくとも発覚してるものは全部ふさいています。あたりまえですが。

http://www.mahoro.net/memo/?200410c&to=200410240#200410240

に追記がありましたので、捕捉します。

まず、暗号化はシステム稼働最初期から間違いなく行っています。

Brute Force攻撃について懸念されているようですが、エンコードするときのアルゴリズムを「ブロック暗号化方式」としか明かしてないこと、暗号化するときのbit長が充分に長いことを根拠に耐性は充分にあると考えています。

http://www.mahoro.net/memo/?200410c&to=200410221#200410221

に、推測に基づく言及があり、現状で事実と異なる結論に達しているため、事実を書きます。

カード情報は、秘密鍵を使ったブロック暗号化方式でエンコードされた上でDBに格納され、オーソライズおよびチャージの度にデコードされ、処理されます。カード情報の書き換え以外では、平文の情報がWebページのフォームなどにそのまま記載されることは無いため、秘密鍵が漏洩しない限りカード情報を不正に取得した人がその情報を復元することは不可能です。カード情報の書き換えはSSL経由で行われるので、通信経路上で平文のカード情報が流れることは一切ありません。パスワードはデコードの必要がないため、一方向関数でエンコードされています。

お知らせで、カード情報とパスワードを一緒に書いてしまったために混乱を招いたようですね。必要があれば、この文章の説明部分(上のパラグラフ)をそのまま、お知らせに使っていただいて構わないです。> 各位

そんなにおかしいかなぁ。コスメティック。普通に使うんだけども。もしかして、聞いた人は皆、ﾌﾟとか思ってるんだろうか。

えーと、クレジットカード番号を取得できるかのようなカキコが２ちゃんねるにありますが、とれないです。抜けるんだったら僕の番号を抜いてみてください。Cookieを元にもどしてもいいですよ。

(訂正および追加: 上記「抜いてみてください」は大人げない発言でした。えぇえぇ。すみません。今回祭(これも他意はないです)になったことを謙虚に受けとめ、精進したいと思います。)

<ほらね>ほらね</ほらね>

今日は寿司を食いますた。うに多め。

お腹がグー！

と書いた3時間後にはプラチナポークの黒酢ソースグリルを食ってました。