[B! cookie] teppeisのブックマーク

GitHub - WICG/dbsc

Device Bound Session Credentials (DBSC) aims to reduce account hijacking caused by cookie theft. It does so by introducing a protocol and browser infrastructure to maintain and prove possession of a cryptographic key. The main challenge with cookies as an authentication mechanism is that they only lend themselves to bearer-token schemes. On desktop operating systems, application isolation is lacki

teppeis 2024/07/04

cookie

リンク

令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io

Intro CSRF という古の攻撃がある。この攻撃を﹁古(いにしえ)﹂のものにすることができたプラットフォームの進化の背景を、﹁Cookie が SameSite Lax by Default になったからだ﹂という解説を見ることがある。確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。今回は、﹁CSRF がどうして成立していたのか﹂を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。結果として見えてくるのは、今サービスを実装する上での﹁ベース﹂(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件例えば、攻撃者が用意した attack.examp

teppeis 2024/04/26

ミドルウェア、if(POST) じゃなくて、if (!(GET or HEAD)) の方が良いのでは

リンク

SameSite属性とCSRFとHSTS - Cookieの基礎知識からブラウザごとのエッジケースまでおさらいする - Flatt Security Blog

こんにちは、 @okazu_dm です。この記事は、CookieのSameSite属性についての解説と、その中でも例外的な挙動についての解説記事です。サードパーティCookieやCSRF対策の文脈でCookieのSameSite属性に関してはご存知の方も多いと思います。本記事でCookieの基礎から最近のブラウザ上でのSameSite属性の扱いについて触れつつ、最終的にHSTS(HTTP Strict Transport Security)のような注意点を含めて振り返るのに役立てていただければと思います。前提条件 Cookieについて Cookieの属性について SameSite属性について SameSite属性に関する落とし穴 SameSite属性を指定しなかった場合の挙動 SameSite: Strictでも攻撃が成功するケース例1: スキームだけ違うケース例2: サブドメイ

teppeis 2024/02/06

cookie
atode

リンク

CSRF 対策はいまだに Token が必須なのか?

CSRF 対策は One Time Token をform なりに付与して、サーバ側でチェックすれば良い。それをデフォルトでサポートしてるフレームワークなどもあるし、なくてもライブラリでいくらでも対応できる。どうせ完全にステートレスなサービスはなかなかないので、サーバ側に redis やmemcache を用意するのも別に大変じゃない。なので、 CSRF 対策として Token を付与するのは、最も安全で推奨できる方式ではある。っていうのを踏まえた上で、もう SameSite=Lax デフォルトだけど、今でも Token 必須なの？みたいなのがたびたび話に出るので、いい加減まとめる。前提この話は、スコープがどこなのかによって話が多少変わるので、そこを絞る。今回は Passive ではなく Active に対策していく場合を考えるので、前提をこうする。 SameSite=l

teppeis 2024/01/19

脆弱性対策で古い環境を考慮するかは各サービスで判断すること。例えばIEでログインもできないようなサービスがCSRF対策だけIE考慮する意味ないよね

リンク

3PCA 最終日: 3rd Party Cookie 亡き後の Web はどうなるか? | blog.jxck.io

Intro このエントリは、 3rd Party Cookie Advent Calendar の最終日である。 3rd Party Cookie のカレンダー | Advent Calendar 2023 - Qiita https://qiita.com/advent-calendar/2023/3rd-party-cookie ここまで、 3rd Party Cookie との30年に渡る戦いと、 ITP以降それが Deprecation されるに至った流れ、そして Privacy Sandboxの API について解説してきた。最終日は、ここまでを踏まえて、来年以降の Web がどうなっていくのかを考えていく。﹁Web 史上最大の破壊的変更﹂の意味筆者はこのアドベントカレンダーの最初に、これを﹁Web 史上最大の破壊的変更﹂と言って始めた。 Web で破壊的変更と言え

teppeis 2024/01/02

cookie
web

リンク

3rd Party Cookieのカレンダー | Advent Calendar 2023 - Qiita

いよいよ 2024 年に開始される Chrome による 3rd Party Cookie の Deprecation。これはおそらく﹁Web の歴史上最大の破壊的変更﹂と思って差し支えない。一方、そのインパクトに対してエコシステム側に万端の準備が整っているかというと、必ずしもそうとは言えない。単に﹁3rd Party Cookie がなくなるから、代わりに何を使えばいいのか﹂といった浅い知識ではなく、﹁そもそもなぜ 3rd Party Cookie が無くなるのか？﹂﹁行き着く先はどのような Web なのか﹂について、25回に分けて解説を試みる。

teppeis 2023/12/06

リンク

Preparing for the end of third-party cookies | Privacy Sandbox | Google for Developers

Preparing for the end of third-party cookies Stay organized with collections Save and categorize content based on your preferences. If your site uses third-party cookies, it's time to take action as we approach their deprecation. To facilitate testing, Chrome has restricted third-party cookies for 1% of users from January 4th, 2024. Chrome plans to ramp up third-party cookie restrictions to 100% o

teppeis 2023/10/30

リンク

Cookie2 とは何か | blog.jxck.io

Intro タイトルを見て﹁Cookie の新しい仕様か、キャッチアップしよう﹂と思って開いたのなら、以降を読む必要はない。 Cookie History 2000 年に発行された Cookie の仕様である RFC 2965 では、仕様中に Set-Cookie2/Cookie2 (以下 Cookie2) という2つのヘッダが定義されている。しかし 2011 年に改定された現行の RFC 6265 ではそれらヘッダは deprecate されており、実際の Web でこれらのヘッダが交換される場面を、少なくとも筆者は見たことがない。存在すら知らない開発者も多いだろう。筆者はずっと、この仕様がどのように出てきて、どうして消えていったのかが気になっていた。 Web 上にも情報が少なく、﹁歴史上の理由で﹂とか分かったようなことを言ってる人がたまにいるくらいだ。四半世紀前のことなので経緯を

teppeis 2023/08/21

夏休みの宿題だ

cookie
web

リンク

Preparing to ship the Privacy Sandbox relevance and measurement APIs | Google for Developers

Preparing to ship the Privacy Sandbox relevance and measurement APIs Stay organized with collections Save and categorize content based on your preferences. The Privacy Sandbox project is gearing up to ship the relevance and measurement APIs to Chrome Stable. On the project timeline for the web, we show general availability (GA) starts in Q3 2023. Specifically, we intend to target Chrome Stable 115

teppeis 2023/05/19

ChromeではPrivacy Sandboxの各種APIが2023Q3にGAになり、2024Q1には1%のユーザーで3rd party cookieを無効にする予定

リンク

255524 – REGRESSION (Safari 16.4): Safari sometimes doesn't send cookies for assets requests and javascript fetch requests

Bug 255524: REGRESSION (Safari 16.4): Safari sometimes doesn't send cookies for assets requests and javascript fetch requests

teppeis 2023/05/02

リンク

Safari 16.4 seems to lose session … | Apple Developer Forums

Safari 16.4 seems to lose session cookies on asset requests or javascript fetches. You’re now watching this thread. If you’ve opted in to em ail or web notifications, you’ll be notified when there’s activity. Click again to stop watching or visit your profile to manage watched threads and notifications. You’ve stopped watching this thread and will no longer receive em ails or web notifications when

teppeis 2023/05/02

リンク

2023年4月においてクリックジャッキング未対策のサイトはどの条件で被害を受けるか

サマリ CookieやlocalStorage等でセッション管理しているウェブサイトがクリックジャッキング対策していない場合、どの条件で被害を受けるかを説明する。SameSite属性のないCookieでセッション管理しているウェブサイトは、主要ブラウザのデフォルト設定ではクリックジャッキングの影響を受けない。一方、loaclStorageにトークン類を格納するウェブサイトでは、Google Chrome等のブラウザでクリックジャッキングの影響がある。また、ブラウザの設定を変更した場合の影響についても説明する。クリックジャッキングとはクリックジャッキングとは、一言で説明すると「ウェブサイト利用者に意図しないクリック（タップ）をさせる」攻撃です。ウェブサイト上で意図しないクリックを勝手にさせられると、重大な結果になる場合があります。例えば、このURLを閲覧すると、以下のようにTwitter

teppeis 2023/04/03

SameSite=LaxはCookieを制御するけどlocalStorageでセッション管理するケースは対象外という話。Safari, Firefoxは独自のプライバシー機構で対応

リンク

クライアントの Cookie などのデータを削除する Clear Site Data という仕様について

作成日 2023-02-28 更新日 2023-02-28 author @bokken_ tag Clear-Site-Data, storage, Cookie はじめに Clear-Site-Data というクライアントサイドのデータを削除するための仕様がある。提案自体は2015年頃からある仕様だが、最近 Safari の Beta Release にリリースされ、もうすぐ主要ブラウザで実装が出揃う形になる。¶ この記事では、Clear Site Data とはどういう仕様なのかをまとめる。¶ Clear Site Data とは Web アプリケーションでは、オフライン時にも利用できるようにリソース (データ) をキャッシュしたり、パフォーマンスを高めるため、 local マシンにリソース (データ) を保持することがある。また、サービスをログインするのに Cookie にセッショ

teppeis 2023/03/09

リンク

はてなスターのひみつ - Hatena Developer Blog

ハッピーホリデー！id:cockscombです。この記事ははてなエンジニアAdvent Calendarの8日目のエントリです。今年1月、はてなスターのリニューアルを行いました。リニューアルの内容は告知をご参照ください。はてなスターのリニューアルでは、クロスオリジンの問題を解決するために特別な実装をしています。今回は、ホリデーシーズンをお祝いして、そのひみつを詳 (つまび)らかにします。はてなスターとクロスオリジンはてなスターは、はてなブログなどに埋め込んで利用されます。はてなブログは hatenablog.com や hatenadiary.jp などのサブドメインを利用しており、さらにはてなブログProでは独自のドメインを設定できます。はてなスターは複数の異なるドメイン名のサイトから利用される、ということです。要するにはてなスターはクロスオリジンで利用されます。一方ではてな

teppeis 2022/12/08

iframe経由のクロスオリジン通信によるデータ同期とStorage Access APIによるサードパーティCookieの利用について

リンク

Cookies Having Independent Partitioned State (CHIPS) | Privacy Sandbox | Google for Developers

Cookies Having Independent Partitioned State (CHIPS) Stay organized with collections Save and categorize content based on your preferences. Allow developers to opt a cookie in to "partitioned" storage, with a separate cookie jar per top-level site. Implementation status Supported by default in Chrome 114 and higher. An origin trial, now complete, was available from Chrome 100 to 116. Read the Inte

teppeis 2022/10/20

リンク

CookieのPartitioned属性 (CHIPS) の標準化はじまる - ASnoKaze blog

サードパーティCookieをトラッキングに使用できないようにする﹁Cookies Having Independent Partitioned State (CHIPS)﹂という仕組みが議論されています。現在は、その仕組はW3CのPrivacy CGで議論されています。細かい仕組みは以前書いたとおりです。 ( トラッキングに利用できない3rdパーティクッキー﹁CHIPS﹂の仕組み (partitioned属性) - ASnoKaze blog) このCHIPSは、Cookieに新しいPartitioned属性を利用します。Cookie自体の仕様は、IETFが発行するRFC 6265で定義されており、そこにPartitioned属性を追加してやる必要があります。そのためIETF側にも﹁Cookies Having Independent Partitioned State specif

teppeis 2022/10/20

リンク

Webサービスで「ユーザーページに独自ドメインを登録できる」機能を提供するのがなぜ難しいか

コンテンツ投稿系のWebサービスでは﹁ユーザーのページに好きな独自ドメインを登録できる﹂という機能をつけたくなることがあります。ユーザーからすると﹁コンテンツが自分自身の所有物であること﹂を感じやすいですし、コンテンツのポータビリティが上がりますし、とても夢がありますよね。僕もいつか実装してみたい機能のひとつです。しかし、この機能を提供するには、以下のようなハードルがあります。料金ベンダーロックイン複雑な実装︵とくに認証︶ (1)の料金についてはデプロイ先によります。例えばVercelであればProプラン以上であれば無制限に独自ドメインを登録できます︵Unlimited custom domains for all Pro teams︶。 Google Cloudの場合にはCertificate Managerで独自ドメインごとの証明書を管理するのに﹁ひとつあたり○USD﹂という感

teppeis 2022/10/19

リンク

New Recipes for 3rd Party Cookies

text/plain ericlaw talks about security, the web, and software in general Last Updated: 13 November 2023 For privacy reasons, the web platform is moving away from supporting 3rd-party cookies, first with lockdowns, and eventually with removal of support starting at 1% in Q1 2024 (was late 2023) and completed in the third quarter of 2024. The Edge team will almost certainly follow the Chrome team,

teppeis 2022/08/31

リンク

First-party cookie recipes | Articles | web.dev

First-party cookie recipes Stay organized with collections Save and categorize content based on your preferences. Learn how to set first-party cookies to ensure security, cross-browser compatibility, and minimize chances of breakage once third-party cookies are phased out. Cookies can be first-party or third-party relative to the user's context; depending on which site the user is on at the time.

teppeis 2022/06/22

cookie

リンク

2023年末の「Cookieの終焉」までに、広告主が知っておくべき問題とその対応 | AdverTimes.（アドタイ） by 宣伝会議

ニールセンは2022年4月1日より、日本市場においてニールセンデジタル広告視聴率︵DAR︶のオープンインターネット測定において、﹁ニールセン・アイデンティティ︵ID︶・システム﹂の導入を開始した。﹁ニールセンIDシステム﹂は、サードパーティークッキーなどデジタル識別子の利用制限が進む中で、デジタル識別子のみに依存しない個識別ソリューション。アメリカのほか、イタリア、フランス、英国に続いて今回、日本での導入が始まった。ニールセンデジタル代表取締役社長の宮本淳氏にサードパーティクッキー︵以下、Cookie9の利用が制限されることで、現時点で発生している問題について、話を聞く。 ――グローバルにおいてここ数年で、データの利活用に際してユーザーのプライバシーが重視される流れにあり、広告に関わる部分ではCookie利用の規制が進んできました。 2017年にAppleがITPのバージョン１.0を

teppeis 2022/04/18

リンク

はてなブックマーク

タグ

関連タグで絞り込む (52)

cookieに関するteppeisのブックマーク (113)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第2週）

はてなブックマーク透明性レポート（2024年 2月-2024年4月）

今週のはてなブックマーク数ランキング（2024年7月第1週）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス