JavaScript++かも日記: 【セキュリティ】Google Analytics

このページは[ 入門 Ajax ](ソフトバンククリエイティブ )と[ だれでもカンタンJavaScriptサンプル集 ](秀和システム)と
[ だれでもカンタンDynamicHTMLサンプル集 ](秀和システム)などの著者
でAllaboutのJavaScriptガイドとか牛久大仏の足元で草むしりをしながら
暮らしている【高橋登史朗】によるサポートページ兼無駄話ブログです

*このスクリプト動かないよ～、とかの情報は
各「コメント欄」へ書き込んでいただけるとうれしいです。
直せないかもしれないけどf^^;;;

2005年12月04日

【セキュリティ】Google Analytics

【Webサービス , セキュリティ】

ブックマーク-- Hatena

/ Livedoor

Google Analyticsを使うと、cookieにいろいろ吐き出すので結構鬱陶しいです(javascript:alert(document.cookie)してみると、jsgt.orgサーバー管理者の私がセットしていない__utmxxというコードが見えますが、それです)。

とはいえ、アクセス解析ソフトなんですから、動作としては普通なのでしょうし、普通はHTTPのアクセスなんて世界中の経路に公開済みの情報ですから、どってことはない話です。それに、Google Analyticsは、便利で快適なので、一度お世話になったら手放すのが惜しいサービスです。

でも、そうは言っても、このようにWebサービスとして利用するときには、一応、注意が必要でしょう。よくあるWebカウンターなどのサービスも同じ事ですが、別ドメインのWebサービスをページ内に貼込むということは、その別ドメインのWebサービス管理者と自分のドメインのcookie情報を共有することになる可能性があります。

cookieに登録された情報は、昔から、そして今だに、この程度にオープンなものなのです、と、いうことを忘れてはいけないぞと、、、。＜当たり前のことですが、NewGameWebの送信モジュールも水位情報も、悪さをしようと思ったらできます。＜でも、しません。＜結局、netも信用とモラルが大切ということです。＜犯罪は、誰にでも犯せますが、実際に犯罪を犯すのは犯罪者だけです。でも、cookieに大事な情報を持たせているサイトやpassword入力フィールドがあるページなどへ、確実に信頼できるとは限らない別ドメインのWebサービスを貼ってはいけません。

たとえば、クリック広告とpassword入力フィールドが同じページにあるなど、もっけのさいわい、もとい、もってのほかです。

参考までに、Google Analyticsのトラッキングコードurchin.jsは、こんなのです。＜ソースオープン言語(注)なので簡単に見れます(^^; (注:オープンソースではありません)
http://www.google-analytics.com/urchin.js

高橋 ( 2005年12月04日 23:59 )

ふと、、、その視点で眺めてみたら、、、ログイン用のユーザ名:パスワード入力がTopについたブログやツールって結構ありますよね、、、。たとえば、xoopsのページ（http://jp.xoops.org/
）もGoogleの広告が貼られていますが、Googleがとる気になったら数行のコードで取れるような気が、、、。（Googleは、そんなことしないと思いますけれど、、、ユーザーのページを回ったらいろいろな広告も貼ってあって、少し心配に、、、）。

高橋 ( 2005年12月05日 11:21 )

で、この場合、信頼できない別ドメインの広告サービスやブログ用のアクセサリーなどを設置したい時にどうしたら良いかというと、たとえば、iframeの檻に閉じこめてしまうというのはどうでしょう？　

iframeにはクロスドメインやセイムオリジンの制約がかかりますから、、、。そういえば、Google Adsenseはiframeにも対応していますね。<--これは無理かも

高橋 ( 2005年12月05日 13:54 )

この話の肝は、ページのdocument内に読み込まれたソースのスコープは、そのページのdocument内にあるということですね。一応、信頼できるドメイン間を接続する方法（たとえば、私の管理下にあるgame.gr.jpやg2.ngw.jpの状況を、同じく私の管理下にあるjsgt.orgで一括管理するなど）としては役にたつと思いますので、簡単な送信サンプルを作ってテストをしてみました。
http://game.gr.jp/secur/door/test1.htm

高橋 ( 2005年12月05日 15:57 )

今見たら、Google Adsenseのiframeオプションは同一ドメイン用なので使えなさそう。。。

高橋 ( 2005年12月05日 18:50 )

昔のブラウザはだめでしたが、今のブラウザのcookieのpathが信頼できるのかについて調べる必要があるかなぁ、、、。あと、type=passwordの問題はWin IEに限った脆弱性っぽいです。他のブラウザは大丈夫でした。(これは間違い。参照下記追記。)cookieとかはいろいろケースをわけて調べないとわからないなぁ。今日は、眠いのでここまで。ばた。。。でも、もし、Googleに某国のスパイが潜入していたら、世界中のユーザー名とパスワードが、すでにDB化されて、、、＜24見すぎ。

【追記】2005.12.05
受信側も作って試したら、Firefox1.04,Opera8.5でも普通にpasswordも取れました。Safariはきっと駄目だと思いますが。。。＜それは、駄目なのか？＜微妙、、、(^^;;
http://jsgt.org/secur/door/test1/test2.htm

高橋 ( 2005年12月07日 11:19 )

Safari1.25でも送れました。Mac版のIE5.2でも、着信は別のブラウザで確認する必要がありますが、送信はできました。

【コメント】