水無月ばけらのえび日記

Wiiインターネットチャンネル・アドレス偽装のセキュリティ修正?

アップデートされたWii (www.amazon.co.jp)のインターネットチャンネルを使っていて、ひとつ気になったことがあります。

インターネットチャンネルでは画面下部にツールバーが表示されるのですが、設定でツールバーを隠す事ができるようになっています。ツールバーを隠している場合、以前はそこには何も表示されていなかったのですが、新しいバージョンでは、ツールバーの「ページ情報」ボタンの位置に影のようなものが表示されるようになりました。画面下部にポインタを持っていくとツールバーが表示され、ちょうど影の部分に「ページ情報」ボタンが重なり、押せるようになります。ポインタをツールバーの外に出すと、ツールバーは消えますが、「ページ情報」ボタンの場所に影が残ります。その影は押しても何も起きません (押せない旨の警告音が出ます)。

困るのは、その影の後ろに Web ページのリンクなどがあっても、そのリンクを押すことができないということです。普通に邪魔ですし、押せそうなのに押せないという、ちょっと良くないオブジェクトになっています。いちおう SSL のページになると鍵アイコンに変わったりするのですが、URL が一緒に表示されるわけでもないので、それだけではあまり役に立ちません。そもそも、わざわざツールバーを隠す設定にしているのに、何故こんな邪魔なものを置くのかと……。

最初はその理由が理解できなかったのですが、ふと、その影の持つ意味に思い至りました。

実はインターネットチャンネルにはアドレスバーがありません。そのかわり、ツールバーの「ページ情報」ボタンを押すと、見ているページの URL が表示されるようになっています。今見ているページの URL を知りたければ、ツールバーの「ページ情報」ボタンを押して、そこに表示された URL を見ることになります。

そこで考えたいのは、もし表示されているツールバーがニセモノだったらどうなるのかということです。ユーザがツールバーを非表示にしている場合、Web ページが下部にツールバーとそっくりのものを置いていると、それは本物のツールバーとほとんど見分けがつきません。本物そっくりのツールバーもどきに、本物そっくりの「ページ情報」ボタンを置き、リンク先を本物の「ページ情報」画面とそっくりに作り、そこに偽の URL を記載しておけばどうでしょう。ユーザがそれを本物と誤認して、アドレスの偽装が成立するおそれは十分にあると思います。

しかし、新しいインターネットチャンネルではこの攻撃は通用しなくなっています。前述の「影」の存在によって、偽の「ページ情報」ボタンが押せないからです。ツールバーを消してもページ情報ボタンの影が残ること、影の後ろのボタンが押せないことによって、アドレス偽装の攻撃が成立しなくなっているわけです。

これが意図的に行われた「セキュリティ修正」なのかどうかはよく分かりません。前に書いたように、Q&A にはセキュリティ修正が含まれている旨の記述がありますが、アドレス偽装の修正が行われたとは書かれていませんので、別の意図で実装した物がたまたま偽装を防いでいるだけなのかもしれません。しかし、いずれにしても、古いインターネットチャンネルでは、ツールバーを隠して使っている場合にアドレス偽装が成立する可能性があるということは間違いないと思いますので、アップデートを強く推奨したいところです。

※まあ、そもそもアドレスバーが無いというのが問題ではあるのですが。

• 「Wiiインターネットチャンネル・アドレス偽装のセキュリティ修正?」にコメントを書く

関連する話題: Wii / Opera / セキュリティ / 任天堂 / SSL/TLS