プロジェクト

全般

プロフィール

Backport（バックポート） #2269

SSL 通信時の携帯電話個体識別番号の取得が明確に禁止されていない

Shingo Yamada がほぼ13年前に追加. 12年以上前に更新.

ステータス:
Fixed（完了）
優先度:
High（高め）
担当者:
Kousuke Ebihara
対象バージョン:
OpenPNE3.6beta13
開始日:
2011-07-14
期日:
進捗率:

100%

説明

Overview (概要)

SSL 通信時の携帯電話個体識別番号の取得が明確に禁止されていない。

SSL 通信で得られた携帯電話個体識別番号のなかには、信頼できない値になりうるものがある。 OpenPNE では SSL 通信時に すべての種類の 携帯電話個体識別番号の取得を禁止する方向で統一して実装する。

OpenPNE 3.6 では部分 SSL 機能を正式に提供するようになるので、この修正は OpenPNE 3.6 のリリース前におこなう必要がある。

Way to fix (修正内容)

  • SSL 通信では OpenPNE は携帯電話個体識別番号を得られなかったものとして認識するようにした
    • あくまで携帯電話個体識別番号を取得しないようにするだけで、 Cookie 内に格納された ID は通常通り利用できる（＝かんたんログインができなくなるわけではない）
  • 部分 SSL 機能を利用している際に、携帯電話個体識別番号を用いるアクションを実行した際、その通信が HTTPS でおこなわれている場合は、 HTTP へリダイレクトさせるようにした
    • 対象となるアクションは 'member/register', 'member/registerInput', 'member/registerEnd', 'member/configUID' である

関連するチケット

関連している OpenPNE 3 - Bug（バグ） #2225: SSL 通信時の携帯電話個体識別番号の取得が明確に禁止されていない Fixed（完了） 2011-06-16

関係しているリビジョン

リビジョン 864967de (差分)
Kousuke Ebihara が12年以上前に追加

opWebRequest::getMobileUID() now doesn't return uid when the current connection is SSL -- for a security reason (refs #2269, BP from #2225)

リビジョン 03de6d89 (差分)
Kousuke Ebihara が12年以上前に追加

added support to force redirect to HTTP if the action uses mobileUID and that is in the ssl_selectable_actions list (refs #2269, BP from #2225)

リビジョン b55d59ee (差分)
Kousuke Ebihara が12年以上前に追加

added test for the opWebRequest::getMobileUID() in SSL connection (refs #2269, BP from #2225)

リビジョン 51bdbb28 (差分)
Kousuke Ebihara が12年以上前に追加

added test for opExecutionFilter::needToRetriveMobileUID() and opExecutionFilter::handleSsl() (fixes #2269, BP from #2225)

リビジョン 6408ad26 (差分)
Kousuke Ebihara が12年以上前に追加

s/retrive/retrieve/ig to changes in this ticket (refs #2269, BP from #2225)

リビジョン 2c1f31f7 (差分)
Kousuke Ebihara が12年以上前に追加

additional s/retrive/retrieve/ig to opExecutionFilterTest because there are oversights in my 6408ad26 commit (refs #2269, BP from #2225)

リビジョン 666eae0f (差分)
Kousuke Ebihara が12年以上前に追加

added "member/registerMobileToRegisterEnd" to list of retriving-mobile-uid-actions (fixes #2269, BP from #2225)

履歴

#1 Kousuke Ebihara が12年以上前に更新

  • ステータス を New（新規） から Accepted（着手） に変更

#2 Kousuke Ebihara が12年以上前に更新

  • ステータス を Accepted（着手） から Pending Review（レビュー待ち） に変更
  • 進捗率 を 0 から 50 に変更

更新履歴 51bdbb2838b4f59cc9b7aa5642c88d8c4e6e40a4 で適用されました。

#3 Rimpei Ogawa が12年以上前に更新

  • ステータス を Pending Review（レビュー待ち） から Rejected（差し戻し） に変更

親チケットを差し戻したためこちらのチケットもステータスを変更します。
http://redmine.openpne.jp/issues/2225#note-3

#4 Kousuke Ebihara が12年以上前に更新

  • ステータス を Rejected（差し戻し） から Pending Review（レビュー待ち） に変更

6408ad26ed9fd01b07a646e1c97327f6e18ce2d4 で親チケットの指摘事項に対応しました。

#5 Rimpei Ogawa が12年以上前に更新

  • ステータス を Pending Review（レビュー待ち） から Rejected（差し戻し） に変更

#6 Kousuke Ebihara が12年以上前に更新

  • ステータス を Rejected（差し戻し） から Pending Review（レビュー待ち） に変更

更新履歴 666eae0fde5ec0ec71e0fef6e0648de6d09360f5 で適用されました。

#7 Maki Takahashi が12年以上前に更新

release-3.6beta13ブランチに取り込み済みです

#8 Shingo Yamada が12年以上前に更新

  • ステータス を Pending Review（レビュー待ち） から Pending Testing（テスト待ち） に変更
  • 進捗率 を 50 から 70 に変更

下記の差分が一致していることを確認しました。

master stable-3.6.x
57ec41bd6e71fdb6ba563567ce082c311314a8c0 666eae0fde5ec0ec71e0fef6e0648de6d09360f5
ba357d13a964b00c38c406b987719f1ba6e0a51f 2c1f31f7776dd4ef9b71b370d719aaf8b776fd3a
05098b98b1e0e810e9407bc0c535691fed683d8f 6408ad26ed9fd01b07a646e1c97327f6e18ce2d4
764706b3648024c8e5d8cb71ee9e2559745acd9e 51bdbb2838b4f59cc9b7aa5642c88d8c4e6e40a4
dbe81886a1d3d310043a0639300b8649a8553b1f b55d59ee0b5809514584d08d6155273f23d3c7fb
370717bddf0432d152288cdf7e30d6892184b524 03de6d89daf56b8029b9362aecc57059631b32ca
a818aa1d7343137c44863237eefb287a031e91c7 864967dea288fcb53deee043a28c5631724009fd

#9 Kousuke Ebihara が12年以上前に更新

  • 説明 を更新 (diff)

修正内容として示していた以下の記述は事実と反していたため削除しました（本機能は ssl_required_applications よりも優先されることはなく、その場合、 ssl_selectable_actions から指定を外した場合は、従来通り、 HTTP 通信が強制されることになるため）。

** これらのアクションへのアクセスであっても、 OpenPNE.yml の ssl_selectable_actions で指定されていない場合は、リダイレクトはおこなわれない

#10 Mutsumi Imamura が12年以上前に更新

  • ステータス を Pending Testing（テスト待ち） から Fixed（完了） に変更
  • 進捗率 を 70 から 100 に変更

LiveHttpHeadersを使用し動作を確認しました。
問題ありません。

他の形式にエクスポート: Atom PDF