水無月ばけらのえび日記

bakera.jp > 水無月ばけらのえび日記 > 2008年のえび日記 > 2008年10月 > 2008年10月14日(火曜日)

2008年10月14日(火曜日)

クリックジャッキング

AdobeやNoScriptからクリックジャッキング対策発表される (slashdot.jp)」。

iframeの上にFlashをオーバーレイするというシンプルな話のようで。デモムービー (jp.youtube.com)を見ると何が起きているのかよく分かりますね。

スクリプト無効でも回避できないと言われていましたが、FlashなどのActiveX系も無効になっていれば問題ないような……。スクリプト無効かつFlash有効というシチュエーションって、そんなにあるのでしょうか。

関連する話題: Web / セキュリティ / Flash

IT Pro がまたやっちゃった

ブラウザに実際に表示されるのは,HTML文書のどの部分? (itpro.nikkeibp.co.jp)

実際にページとして表示されているのは,どのタグで指定した部分でしょうか。

1.<title>タグ

2.<body>タグ

3.<head>タグ

4.<table>タグ

IT Pro、またやっちまったよ……。しかも回答には、

HTML文書でもXHTML文書でも,Webページの基本構文は同じです。

という解説がありますが、これも誤りです。嘘だと思うなら、以下のようなHTMLを The W3C Markup Validation Service (validator.w3.org)でチェックしてみると良いでしょう。

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">
<title>test</title>
<p>test page</p>

これはvalidになるはずです。一方、以下のXHTMLはinvalidになります。

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<title>test</title>
<p>test page</p>

なぜ前者はvalidなのに、文書型宣言が異なるだけの後者がinvalidなのでしょうか。それは、「Webページの基本構文が異なるから」に他なりません。このような構文はHTMLでは許されていても、XHTMLでは許されていないのです。

さて、前者のHTML文書ですが、これはvalidですし、ブラウザでちゃんと表示できます。このHTMLには問題の選択肢2~4に該当する部分は存在しませんが、内容はちゃんと表示されています。このことから、2~4は不正解であることがわかり、消去法で選択肢1が唯一の正解となります。

※……というか、HTMLをぜんぜん知らない人にHTMLの問題を作らせるのはやめてください。過去の事件とか全く生かせていないですよね。

関連する話題: HTML / ITpro

MySQLのカラム切り捨て問題

MySQLのカラム切り捨て脆弱性 (rryu.sakura.ne.jp)

こういうことですかね。

……という感じのシステムがあり、ユーザbakeraが既に存在するとき、二重登録チェックはこんな感じになり……。

「bakera 」は登録できないのに、「bakera a」を登録すると「bakera 」で登録できてしまい、さらに「bakera」と同じ WHERE 句で拾われたりすることになると。

ちゃんと長さチェックしようね、という話で良いのでしょうか。

関連する話題: Web / セキュリティ

脆弱性にぶちきれ

XSS.in (subtech.g.hatena.ne.jp)」。

昨日の手乗りタイガー並のむかつきっぷりです。電柱蹴って斜めにしたい。大丈夫じゃないんじゃああああって。

基本的に深夜アニメとか見ないもので、10月8日 (というか9日未明?) 放送の「とらドラ!」第2話も見ていないのですが、まあ雰囲気はなんとなく分かります。

関連する話題: Web / セキュリティ / 26分で5件届出の伝説

WEPが10秒で解読

更新: 2008年10月23日

「WEPは10秒で解読可能」、神戸大と広島大のグループが発表 (internet.watch.impress.co.jp)だそうで。

昔から言われていたことではありますが、そろそろ本気で気をつけた方が良いということですね。ニンテンドーWi-Fiネットワークアダプタ (wifi.nintendo.co.jp)のように、ニンテンドーDSと他で使い分けるのが良いのかな……。

森井教授は、「ニンテンドーDSのようにWEPにしか対応していない機器があることなどから、現在でもWEPが広く使われているという現状があるが、先日発表された新モデル(ニンテンドーDSi)ではWPAやWPA2に対応しており、WEPの使用禁止を呼びかけるには良いタイミング」と判断したという。

いやー、しかし、そのためだけに買い換えるというのもちょっと……。ニンテンドーDSiにはGBAスロットがないので、ポケモンが困ったりしますし。

※2008-10-23追記: 実は、DSiでも過去のソフトではWPAやWPA2は使えない模様。参考: ニンテンドーDSiでも従来ソフトではWEPになる?

関連する話題: セキュリティ / ニンテンドーDS

最近の日記

関わった本など