リファラとセキュリティー そのメリット

質問

こんにちは。いつもお世話になります。
Norton Internet Securityやトレンドマイクロ、Opera, Firefoxなどで
リファラをオフにするのは、どういったセキュリティー上のメリットが
あるのかを、教えて下さい。よろしくお願いします。

回答No.2

Fushino · ベストアンサー

Refererのセキュリティ上での問題点は以下のリンクをご覧下さい。
また、(2)の中でふれられていますが旧バージョンのIEにはRefererとしてリンクされていないURLを誤送出するバグがあって直前に閲覧したURLが漏れることがあり、セキュリティ面だけでなくプライバシー面でも問題視されていました。

Cookieを使用せずURLに埋め込むIDに頼ったセッション管理方式の脆弱性(1) － REFERER情報取得による脆弱フリーメールサイトの乗っ取り問題 －
http://securit.gtrc.aist.go.jp/SecurIT/advisory/webmail-1/
URLに埋め込むIDに頼ったセッション管理方式の脆弱性(2) － REFERER情報流出によるセッションハイジャック攻撃の問題 －
http://securit.gtrc.aist.go.jp/SecurIT/advisory/referer-2/

お礼

情報ありがとうございます。
なるほど、勉強になります。
CMSは簡単そうで、こういったセキュリティーも
勉強しないといけないのですね。
だんだん本業から離れたところまで来てしまった。ーー；）

回答No.3

MrBan

危険性自体は既に提示済みのようなので参考までに。

分かった上でOFFにしてるような人は、サイト側のポリシー等が信頼に足ると判断すれば、自身の運用ポリシーに照らして勝手に判断してONにしてくれる(or二度と来ない/偽装登録する)と思うので、説明さえきちんとしてあれば、あまり心配はないのでは。

分からないけど怖いからOFFとか、全くの素人なのにOFFという人の方が厄介だと思います。

# 「とりあえずOFF」という考え方は逆よりは安全だと思うので、
#デフォルトがOFFなことは個人的に悪くないと思ってますけど。

お礼

回答ありがとうございます。
リファラを使った単純なページバックなどのスクリプトは
良く無いんですね。JavaScriptのhistory.back()も駄目だし、
session使うしかないか。

回答No.1

noname#20377

利点の一例:
どこのサイトから訪れたかという情報が漏れない

専門用語でどういうのか知らないが、こういうのに気をつけることが出来る
http://pgyougo.seesaa.net/article/21455457.html

欠点の一例:
直リンを防ぐために、自分のサイトからアクセスされているかをチェックすることがある。管理者によっては自分のサイトからでない場合やチェックできない場合、アクセスさせないといった処置をとることがある

あとは知らないので識者にお任せ。

お礼

早速のレス、ありがとうございます。
実はXOOPSを構築していて、登録画面において
リファラを検出できないと、ユーザ登録ができないという事がわかり、
公式サイトなどで、対処法などもわかりましたが、何故わざわざ
リファラをOFFにする人がいるのかわからないんです。
かといって、一般人でもNorton Internet Securityを使えば、
初期設定でOFFになっているものだから、その人達に、
「リファラ設定をONにして下さい」といちいち表示させるのも
どうかと思い、そこの判断を今検討しております。
管理しているサイトでもアクセスログなどを見ると
リファラをOFFにしている人もいます。OFFにする人は、
情報漏洩防止に努めているかも知れませんが、サイトを
運営している側からすると、逆にスパイみたいで怖いです。
JavaScriptも許可しない、Flashも許可しない、UserAgentも
リファラーも出さないとなると、サイトを制作する側から見ると
どう制作していいか、どこで線をひけば良いか、それが難しいです。
JavaScript、Flash、UserAgentはまぁ良しとしても、
リファラをOFFにする人にはどう向き合ったら良いか考えています。
リファラ排出がインターネットにおいて悪質な事なのか、そこが
わからないのです。