一時期「 Web 2.0 」なんていう言葉が流行ったようですが、その後も Web アプリケーションに関するセキュリティ問題は尽きませんねぇ。
熊猫さくらは、最初からこうなることをスラドで予想していました。
そもそも、ＨＴＭＬという「指示された通りに動く言語」を使っているから振り込め詐欺に騙される隙を与えてしまうのであって、ＨＴＭＬを使わないようにすれば Web システムのユーザが被害にあう原因の多くを解消できるはずです。
「帳票入力アプリケーションの見直しについて」では、ｓｓｈプロトコルを使うことを提案しました。まぁ、ファイアウォールの設定によりｓｓｈプロトコルを利用できないからｈｔｔｐプロトコルを渋々使っているという場合もあるでしょう。でも、ｈｔｔｐプロトコルを使ってＨＴＭＬ形式以外のデータをやり取りしてはいけないという規則はありません。
「ブラウザ」という「接続相手に指示された通りに動く」システムを使い続ける限り、このセキュリティホールは根絶できないでしょう。 SELinux では接続相手に応じた権限切り替えを行おうという計画が進行中のようですが、大多数のユーザは Windows 上で動作するブラウザを使っていますから、 Web システムのユーザを保護するのは難しいでしょう。根本的な解決策は、「接続相手に命令されるがままに動作する」システムを使わずに、「内容を理解し納得した上で自分が命令した通りに動作する」システムを使うことだと思います。
こちらとこちらでは、ＨＴＭＬを使わないことでトラフィックを大幅に削減できて、環境にも優しいシステムを作れることを書きました。
TOMOYO Linux 2.2.0 を含んだ Linux カーネル 2.6.30-rc1 がリリースされました。 TOMOYO Linux はｓｓｈセッションを制御するのにも威力を発揮します。もう一度、ＨＴＭＬを使わないシステムを真面目に検討してみませんか？
このブログをWebアプリケーションではなく、ぜひ、TOMOYOと非HTMLのセキュアなものにリプレースして下さい!!