WebセキュリティのSame Origin問題

ポッドキャスト「Security Now!」Episode #225で「Same Origin問題」を取り上げていた。

Webセキュリティには、Same Origin、つまり同一サイトのコンテンツは信頼できるという共通理解がある。ひとつのページの中にマッシュアップしたコンテンツや広告サイトのコンテンツがある状態は、Web管理者があずかり知らないオブジェクトが含まれていることがある。悪意のあるものの攻撃を防ぐため、たとえばJavascriptは、同一サイトのメソッドやプロパティにアクセスすることを許可しているが、別サイトのメソッドやプロパティへのアクセスは制限される。

Web 2.0の普及に伴って、ユーザがアップロードしたコンテンツがWebページに含まれることが当たり前になってきた。ユーザコンテンツが主サイトと同じドメインのサーバに保存されると、それはSame Originとみなされる。もし悪意のあるものが特別に加工したコンテンツをアップロードすると、主サイトのコンテンツとの間で相互作用が許可され、情報入手や破壊などが行われる可能性がある。

たとえばFlashのコンテンツを写真サイトに拡張子jpgでアップロードしたとする。Flash Playerは拡張子を問わず、ファイルのヘッダ部分だけを見てFlashのファイルかどうかを判断し、Playerが起動する。悪意のあるFlashファイルをアップロードし、サイトのほかのコンテンツと相互作用させることが理論的に可能である。

したがって、ユーザがコンテンツをアップロードするサービスの場合、それは別のドメインのサーバに保管しなければ安全とは言えない。しかしこれはそう簡単に対処できるものではない。複数ドメインを取得・管理しなければいけないし、既存のWebコンテンツのリンクを書き換えたりするなど、非常に手間がかかる。さらにパッケージのブログツールなどをインストールして使っている場合には、そのツールが上記の点を考慮をするのを待たなければならない。

（参考）
「Security Now!」Eposode 225 “Same Origin” Troubles
http://www.grc.com/securitynow.htm