IEのバグがいろいろ

例のURL偽装がらみで、いろいろな人がいろいろな実験を行って、いろいろと問題が出てきているみたいですね。

• id:hoshikuzu:20031211#p2で早速利用したスパムを公開してはります
• SSL man in tne middle(MITM) demoによると、SSL証明書も詐称先のほうを信用するみたい。
• IEの新セキュリティーホールとはてなダイアリーXSS対策についてのまとめ。(セキュリティーホール memo)

あーこわい。

@i問題は、IEバグのパッチが出ても、パッチ当てない人は絶対にいるだろうし、すべてのシステムがXSS対策をする必要がありますね。
「はてな」は閲覧用と編集用のCookieに分けて、「編集はSSL経由のみ・編集用のCookieにSecure属性」という選択肢を可能にしたら楽になるのでは？　対策が早いからその必要はないといったらないんだろうけど、いたちごっこは疲れますよね。
0x00をIEのパーサーが無視する問題は、フィルター方式でHTMLをブロックすような実装の限界を感じますな。絶対また何か出てくるって。

そもそも、IEのパーサーに関連して、XSS脆弱性対策エンジンをMSが用意して欲しい。IEのパーサー部分はオープンにしていいんじゃないかなぁ。→日本の某６大学には期限付きで開示されるらしいですが