Downloaded 45 times
Uploaded by彰 村地
input type = password autocomplete = off は使ってはいけない
江戸前セキュリティ勉強会(2014/07/5) で発表したライトニング トークのスライドです
More Related Content
input type = password autocomplete = off は使ってはいけない
- 1. <input type="password" autocomplete="off"/> は 使ってはいけない MurachiAkira aka hebikuzure This material provided by CC BY-NC-ND 4.0. See http://creativecommons.org/licenses/by-nc-nd/4.0/
- 2. About me 村地 彰 株式会社シーピーエス http://www.murachi.net/ http://www.hebikuzure.com/ MicrosoftMVP(InternetExplorer)Apr.2011～ 2014/7/52© 2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会
- 3. 情報セキュリティ ポリ シー Web システムの パスワードは ブラウザーに 保存させないこと 2014/7/5© 2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 3
- 4. 2014/7/5 © 2014Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 4 ありませんか?
- 5. 実施手順 フォームのパスワード入力 欄には <input type="password" autocomplete="off"/> を指定すること 2014/7/5 ©2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 5
- 6. 2014/7/5 © 2014Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 6 ありませんか?
- 7. 2014/7/5 © 2014Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 7
- 8. 最新のブラウザーでは form の input type="password" フィールドの autocomplete="off" は無視されます 2014/7/5© 2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 8
- 9. 2014/7/5 © 2014Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 9 Why?
- 10. 2014/7/5 © 2014Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 10 ユーザーが複雑なパスワードを 設定しやすくする ローカルにパスワードが保存され ることのリスクより、安易なパス ワードが使い回されることのリス クの方が大きい
- 11. Internet Explorer 2014/7/5 ©2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 11 http://msdn.microsoft.com/en-us/library/ie/ms533486.aspx IE11 ではサポートされません
- 12. Google Chrome 2014/7/5 ©2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 12 http://googlechromereleases.blogspot.jp/2014/04/stable-channel-update.html Chrome34 以降サポートされません
- 13. Mozilla Firefox 2014/7/5 ©2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 13 https://developer.mozilla.org/en-US/Firefox/Releases/30/Site_Compatibility Firefox30 以降サポートされません
- 14. Opera Chrome と同じ Blinkエンジンのため Opera 21 (Chromium 34 ベース) から Google Chrome 34 以降と同じ動作 2014/7/5 © 2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 14 Opera 21 以降サポートされません
- 15. Safari よくわからないけど autocomplete="off" は無視されることがあるようです 2014/7/5 © 2014Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 15 参考 https://discussions.apple.com/thread/6371922 https://discussions.apple.com/thread/5834828 http://lists.w3.org/Archives/Public/public-webapps/2013OctDec/1028.html
- 16. 結論 Web サイトでパスワード欄に autocomplete="off" を指定しても ブラウザーに無視される 2014/7/5 ©2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 16
- 17. つまり 実施手順 autocomplete="off" ではセキュリティポリシーを 守れない 2014/7/5 ©2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 17
- 18. 代替案 ブラウザー自体の設定で オートコンプリートを無効にする ◦例 : InternetExplorer の場合 グループ ポリシー「フォームのユー ザー名とパスワードのオートコンプ リート機能を有効にする」 2014/7/5 © 2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 18
- 19. 宣伝 第19回ネットワークパケットを読む会(仮) ◦7/29 (火) 開催予定 はじめてのWeb Debugger Fiddler ◦7/28 (月) 開催予定 http://pa.hebikuzure.com にて詳細公開 2014/7/5 © 2014 Murachi Akira - CC BY-NC-ND - 江戸前セキュリティ勉強会 19