Application Cacheのセキュリティ問題

自己紹介

• @kyo_ago
• 29歳無職さんではなくなりましたー
• 好きなLocal ProxyはFiddlerです

「Application Cacheとは」

Application Cache

• オフラインでも内容を表示できるキャッシュ機構
• .appcacheファイルで指定した内容を自動的に差分確認して更新
• テキスト、バイナリなんでもOK

しかし、実際は。。。

Application Cache

• ぶっちゃけ使いにくい
• 「Application Cacheなども失敗例です。」
• 「嘘を嘘と見抜けないと(Application Cacheを使うのは)難しい」

Application Cacheのセキュリティ問題とは？

セキュリティ問題

• 「あまりApplication cacheのことを甘く見ない方がいい」という記事を書いたら、そのブクマコメント経由で教えてもらった
• 詳細はHTML5 Security Cheat Sheet - OWASPに書かれている
• 具体的にはキャッシュポイズニングの問題

AppCacheのキャッシュポイズニング

• 「ユーザが信頼出来ないネットワーク上でAppCacheが有効な場合、不正なコードをキャッシュさせられる」
• ネットワークが信用出来ない以上内容の差し替えはしょうがないけど、AppCacheの場合その被害が大きくなる
• あんまりどうしようもない問題

攻撃シナリオ

攻撃シナリオ

• ユーザの通信内容を差し替えられるようにする
• iframe経由でAppCacheを使用してるページを開く
• .appcacheで参照してるファイルに対して不正なコードを送り込む

FAQ

• Q「通信内容差し替えられるならAppCacheは無関係では」
  A　AppCache使っているとその後安全なネットワークに移っても被害が終わらない
• Q「通信内容差し替えた時点で一気に攻撃されれば終わりでは」
  A　AppCache経由ならターゲットに気づかれず継続的な監視もできる

新しい問題が発生するわけじゃないけど、問題が深刻化する可能性はある

じゃあどうすれば

じゃあどうすれば（開発者編）

• AppCache使用前に「AppCache使うけど、ネットワーク安全？」って聞く
• 非ssl環境ではAppCache使わない

じゃあどうすれば（ユーザ編）

• 安全ではないネットワークを使ったあとはAppCache全消しする
• 安全ではないネットワーク上ではシークレットモードにする

微妙。。。

ちなみにApplication CacheはNavigationControllerという管理用APIが提案されているので、今後はもっと使いやすくなっていくと思います

ご清聴ありがとうございました