パスワードを忘れた？ アカウント作成
Close
14420 story
Google

個人のブログが google.com サブドメイン名で公開される不具合 30

ストーリー by yoosee
ある意味究極の「グーグル使い倒し」ではある 部門より

diskshima 曰く、

Google Blogoscoped のブログによると、 Google のミスにより、google.com のサブドメインで個人のブログがホストされてしまうという 珍事件が起きました。 問題は Google のブログサービス Blogger で始まった Blogger Custom Domains にあったようです。このサービスは CNAME を使って、 個人で取得したドメインの元で Blogger で作ったブログを使えるというものです。 今回この個人ブログの公開者が、本来自分のドメインを入力する欄に ghs.google.com と書いたところ、Google 側でチェックを何もしていなかったらしく、 そのまま ghs.google.com でその個人ブログが公開されてしまったようです。
google.com のクッキーがすべて取得できてしまうため、セキュリティ的にはかなり危なかった可能性がありますが、すでに修正されているようです。

ちなみに上のリンクを見ると、この個人ブログは日本人のものらしく、しかも「とことんグーグル使い倒し！」と Google のサービスをいろいろと試したい、と頑張ろうとしていた方のようで、少し切ない感じがします （そのブログの blogger.com でのアドレスが分からないので キャッシュ参照）。
この人に Google がどのように今回の件を説明したかと言うのも気になります。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

個人のブログが google.com サブドメイン名で公開される不具合 More

  • 本当に (スコア:4, おもしろおかしい)

    by Anonymous Coward on 2007年01月18日 13時21分 (#1093898)
    使い倒しちゃった訳ね。

    • Re:本当に (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2007年01月18日 13時45分 (#1093919)
      事実上あのGoogleのドメインを部分的にのっとったんだから、凄いよなぁ。
      世界でも類を見ないぞ。
      シェア
      親コメント

    • Re:本当に (スコア:0)

      by Anonymous Coward
      考え様によっては、脆弱性を発見できたのだからこれは貢献と言って良いのではなかろうか

      • Re:本当に (スコア:0)

        by Anonymous Coward
        ま、偶発的とはいえ、発見は発見ですからね。
        悪意あるクラックでもなさそうですし。

  • Google にが何か失敗をやらかしたという記事をスラッシュドットで読んだら、もし同じことをマイクロソフトがやったらどういう記事・コメントになったかを想像してみると面白いです。ひょっとすると、面白いだけでなく、何か気付かなかったことが見えてくるかもしれません。

    今回の場合、ポイントはこのあたりでしょうか。

    • Google からの公式なアナウンスはない (現時点では)
    • この脆弱性がいつからあって、どれだけの被害が既に出ているかわからない

    Google Blogoscoped の記事にある

    Finally, I think it's worth pointing out that only a small number of people would have been able to exploit this security vulnerability because ...

    以下の部分は無視しておきましょう。その方がコメントが盛り上がります。

    • Re:これがマイクロソフトだったら (スコア:3, すばらしい洞察)

      by fcp (32783) on 2007年01月19日 10時04分 (#1094395) ホームページ 日記

      親コメントでいきなりタイプミスがあってヘコみました。 s/Google にが/Google が/

      さて、架空の話ですが、マイクロソフトで同じ問題が起きていたら、こんな感じでしょうかね…… (あくまでも架空の話です。 MSN ではなく Live と呼ぶべきな気もしますし、僕は今回の Google の脆弱性の発見者がいつ Google アカウントを作ったかも知りません)。

      セキュリティ: MSN に脆弱性、ブログ閲覧で msn.com のクッキーが漏れる

      いっそのこと Google に売却したらどうか部門より.

      Anonymous fcp 曰く、

      毎度毎度セキュリティセクション [srad.jp]に話題を提供してくれるマイクロソフトが、またしてもやってくれました。ブログ○○○の記事によると、 MSN の技術的な設定の致命的な誤りにより個人のブログが msn.com のサブドメインに載ってしまうというセキュリティー上の大きな欠陥があったことが発覚しました。これにより、悪意あるブログを msn.com のサブドメインで運営することが可能になっていました。

      何も知らない MSN ユーザーが悪意あるブログ ×××.msn.com を閲覧しただけで、悪用者はユーザーの msn.com のクッキーを取り放題、ログインしないと見られないはずの情報が見放題という状態でした。しかも、攻撃が成功するためにはターゲットが MSN でブログを書いている必要はありません。つまり、 MSN アカウントを持っている人は全員危険にさらされていたことになります。この脆弱性事態は修正されたものの、マイクロソフトは今のところこの事実を隠しているため、この脆弱性がいつからあったかわからないし、どのような悪用が既に行われているかわかったものではありません。

      しかも笑えないのは、この欠陥を見つけたのはセキュリティーの専門家でもない素人で、 MSN のアカウントを作ってたった三日しかたっていなかったということ。本来自分のドメイン名を入力する欄に誤って ×××.msn.com というドメイン名を入力したところ、自分のブログが ×××.msn.com というドメイン名で公開されてしまったとのことです。素人が三日で見つけられるくらいだから、悪用する気がある人なら一瞬で見つけていたでしょうね。

      野暮ですが解説すると、これは非現実的なくらいに誇張していますし、僕は Google に関してもマイクロソフトに関してもこういう記事を望んでいませんし、特定の誰かに対してこのコメントを書いているつもりもありません。スラッシュドットにある「Google は良い企業だから Google のすることはすべて正しい」という雰囲気が何となく嫌で、誰にともなく書いています。

      Google びいきは結構です (僕も Google は好きです)。でも、もしも Google をひいきすることで思考が鈍ってしまって、普段なら当然気付くようなことに気付かなくなるのなら、いったん別の場合に置き換えて考えてみるというのは思考を先入観から解放するのに有用だと思います。

      とは言っても、これは言うは易く行なうは難しの類です。僕はよく先入観によって思考が鈍るので、自戒を込めて。

      シェア
      親コメント
  • ghs.google.com に CNAME を設定するのは google.com のDNSの管理者じゃなきゃ出来ないよね？
    第3者が blogger に対して自分のドメインは ghs.google.com だって設定したとしても Google のDNSにghsのレコードがなければ誰もそこにはたどり着けないと思うのですが…。
    まさか blogger が ghs.google.com にCNAMEを設定できるわけでもないですし。

    その辺、何が起こったのかよく意味が分かりません。
    誰か解説お願いします。

    #まさか google.com のドメインを設定する権限を持つ、Google の中の人が勝手に自分のblogにgoogle.ecomのホスト名を使ったわけじゃないですよね？
    • まず前提として、blogger.com は google が運営しており、サービスは google.com ドメインのサーバで動いています。 CNAMEの設定方法 [google.com]を見ると 「あなたの(設定したい)ドメインの CNAME を ghs.google.com に向けてください」とあります。

      この Blogger.com での設定では、単純に「設定されたドメイン(所有者がCNAME設定したもの)と結びつけられた blogspot id の blog を、要求されたドメインでのアクセスがあった場合に表示する (RewriteRule を入れる的な事)」と言うことをしているだけだと思います。本来であれば所有権の無いドメインを設定されても、ユーザのアクセス時に ghs.google.com へアクセスが向かない(DNSが別のサーバを向いている)のですが、今回は ghs.google.com と言うのがまさしく自分の名前だったので表示されたということになるんでしょう。

      多分このユーザはそのあたりの説明がよくわからず、「ghs.google.com CNAMEを向けろ」と言うのを「ghs.google.com をBlogger.comコンパネのCNAME設定欄に入れた」と言う感じでしょうかね。
      シェア
      親コメント
    • ＞まさか blogger が ghs.google.com にCNAMEを設定できるわけでもないですし。
      ＞その辺、何が起こったのかよく意味が分かりません。
      ＞誰か解説お願いします。

      本来は、独自ドメインを持っているユーザが
      そのドメインのPrimaryDNS,SecondaryDNSをGoogleに向けて
      GoogleがDNSサービスとなりますよ、という事だったのでは？

      この場合、

      ・ドメイン管理者がPrimaryDNS,SecondaryDNSをGoogleのDNSサーバに変更
      ・Googleが、そのドメインのCNAMEをbloggerに向ける固定値を設定

      という作業が発生し、双方で変更が必要なので、勝手に人のドメインを
      使おうとしても、PrimaryDNS,SecondaryDNSが変わらないため安全そうですが
      Googleドメインは初めから、PrimaryDNS,SecondaryDNSが
      今回のDNSサービスを向いていたため1つめの変更する必要がなく
      名前解決できてしまったということなんでしょうね。

      修正内容としては、元々Google側で管理しているドメインについては
      利用できないようにしたか、別のDNSサーバを用意したかのどちらかでしょうかね？
      # その辺り詳しい人ヨロシク～
      シェア
      親コメント

    • Re:CNAMEがどこにかかるのかよくわからないんだが (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2007年01月18日 13時45分 (#1093920)
      リンク先のブログを読む限り、以下のような仕掛けではないでしょうか。

      本来は、例えばblog.example.comをghs.google.comへのCNAMEとしておいて、 「blog.example.comで使うよ」とBloggerに伝えておけば、 blog.example.comに自分のブログが表示されるという仕組みになっている。

      そこで、「blog.example.comで使うよ」と伝える代わりに、 「ghs.google.comで使うよ」と伝えてしまったとすると、 ghs.google.comからghs.google.comへのCNAMEなんて作らなくても、 上の仕組みが働いてghs.google.comにその人のブログが表示されてしまう。

      シェア
      親コメント
    • Google Apps for Your Domain [google.com]もCNAMEをghs.google.comに向けることで使えます。
      シェア
      親コメント
    • CNAME は関係ないんじゃないかと。

      単に blogger での設定の結果、Host: ghs.google.com というヘッダを受信した場合に Google のサーバ群がブログページを返すようになっちゃっただけだと思います。

      サービス毎にサーバ群を分けてあれば問題なかったんでしょうけど、なまじスケーラビレティのあるプラットフォームに同居していたがゆえの問題なんでしょうか。

  • 21日のNHKスペシャル (スコア:1)

    by inoua (33235) on 2007年01月19日 0時27分 (#1094250) 日記
    NHKスペシャルを見ても解らない様な難しい事のようですね。 NHKのページより。 1月21日（日）午後11時45分～　総合テレビ 午後9時00分～9時49分　総合 グーグル革命の衝撃　～あなたの人生を“検索”が変える～ 愛媛県内では、放送時間を変更してお送りいたします。

    • 失礼しました (スコア:1)

      by inoua (33235) on 2007年01月21日 10時54分 (#1095447) 日記
      初登校（投稿）だったのでタグの使い方が分かりませんでした。
      内容がさらに分からなかったですね。すみませんでした。
      　
      googleの話だったので「今度のNHKスペシャルでNHKがgoogleの中に入って詳しくgoogleを解説してくれるそうですよ」といいたかったのです。
      全くそのようの内容では無かったですね。
      　
      再度すみません。
      (今度は改行できた！）
      シェア
      親コメント
    • 俺にはお前のコメントがよくわかららんのだが。

      #ついでに投稿形式にも気を使えや。
    • ＞NHKスペシャルを見ても解らない様な難しい事のようですね。 NHKのページより。 1月21日（日）午後11時45分～　総合テレビ午後9時00分～9時49分　総合グーグル革命の衝撃　～あなたの人生を“検索”が変える～ 愛媛県内では、放送時間を変更してお送りいたします。

      あなたの使えたい事が、よく解りません。
      伝えたい事を伝えられる文章を書くように
      頑張ってもらえないでしょうか・・・・

      # 日常でこんな言葉使ってるようであれば
      # 周りの人間苦労してるだろう・・・・

  • Google でウェブページのキャッシュ (こんなの [google.com]) を見るとき、どうして IP アドレスを使った URL (こんなの [72.14.253.104]) にリダイレクトされるのか、何年も前から疑問だったのですが、今ようやく理解しました。

    自分のドメインの中でよそのスクリプト等が動いたらセキュリティーホールになるから、それを防いでいるんですね。

    Yahoo! (US) も同様に IP アドレスになります。 Yahoo! Japan は cache.yahoofs.jp、 Live は cc.msnscache.com になるようです。理由を理解してしまえば当然ですが、ドメイン名を使うにしてもキャッシュページ用のセカンドレベルドメインを用意しています (cache.live.com とかだったら意味がないわけです)。

    もし常識だったら、僕が常識人に一歩近付いたということで祝ってください。 (常識でなかったら、常識人から一歩遠ざかったということ?)

  • （´・ω・） ｶﾜｲｿｽ (スコア:0, オフトピック)

    by Anonymous Coward on 2007年01月18日 12時55分 (#1093871)
    老体にムチうっったのに・・・ググルおやじｶﾜｲｿｽ

  • 元サイト (スコア:0)

    by Anonymous Coward on 2007年01月18日 16時52分 (#1094006)
    http://brainpapa.blogspot.com/ [blogspot.com] ここがググルおやじさんのブログのようです。 ユーザー名からたどりました。

    • Re:元サイト (スコア:4, おもしろおかしい)

      by Youth (28154) on 2007年01月18日 17時15分 (#1094011) ホームページ 日記
      唖然。
      全くの素人が三日でGoogleをハックしちゃったんですね。

      ＞１人でも多くの方にグーグルの凄さを伝えていきます。
      貴方がスゴイ
      ＞今年、２００７年は「グーグル」がブレイクしそうな気がします。
      貴方が色んな意味で「グーグル」『を』ブレイクしたんですよ、と。
      --
      Youthの半分はバファリンでできています。
      シェア
      親コメント

      • Re:元サイト (スコア:0)

        by Anonymous Coward
        惜しむらくは今が1月なので、2007年の重大ニュースを考える頃には皆忘れちゃうって事でしょうか
        「伝説のおやじ」として語られる位のレベルはあると思うんですが(笑

        # 昔ミトニック、今おやじ。

  • 元ネタはここ? (スコア:0)

    by Anonymous Coward on 2007年01月20日 1時50分 (#1095011)
    クリボウの Blogger Tips
    カスタムドメインで Google 乗っ取り!? 2007-01-15
    http://www.kuribo.info/2007/01/google.html

    で、ググルおやじさんは16日のエントリーで、
    >っていうかクリボウさんのおかげで文字化けから、帰還することができました。
    とのたまっておられます。
    何事か起きているのか全く御理解なされておられぬ御様子。

    View my complete profileを見ると、
    ユーザー統計
    Blogger の利用歴 January 2007
    プロフィール ビュー 180

    コメントがゼロでプロフィールビューが180ってなんだよW

    それはともかく、ググルおやじさんのブログがリンクしている「日本のネットビジネスを動かす巨人たち」とやらはいずれも怪しさ満点なサイトばかりで、こんなもんに引っ掛かる奴もおるのか、と。

    結局なんなんでしょうね、このブログ。
    詐欺まがいのサイトを紹介することを目的に作られたブログのようにしか見えません。
    最初のエントリーで、
    >１人でも多くの方にグーグルの凄さを伝えていきます。
    と言いながらやっていることは怪しげな投資サイトの紹介。

    タレコミには、
    >google.com のクッキーがすべて取得できてしまうため、セキュリティ的にはかなり危なかった可能性がありますが、
    とありますが、これは間違いなく本当のことなのでしょうか。

    どこかの詐欺師がghs.google.comを悪用できることを知っていて、わざとやっていたらなんて想像するだけでもぞっとします。
    先の、
    >っていうかクリボウさんのおかげで文字化けから、帰還することができました。
    これ、何事が起きているのか理解していなかったようにも読めますが、
    2006-12-14Shift_JIS と Blogger beta のフィードのこと 2006-12-14
    http://www.kuribo.info/2006/12/shiftjis-blogger-beta.html
    のことを指しているのだとすると初心者のうっかりミスではなく
    > BlogSpot 以外のサーバーで、さらに非 UTF-8 な文字コードで書かれたブログだけに起こる
    ような
    >かなり特殊な状況での話なので、一般のユーザーにはほとんど役に立たない気がします。
    対策を理解できるスキルの持ち主ということになります。
    だとするとこのトピックスに対する見方が全く変わったものになってしまうと思うのですが。

    なおクリボウ氏のブログでは類似の事例をくつか紹介していますが、初耳のことばかりで参考になりました。

    • 「ググルおやじ」氏がどういう人かは知らないし、その人の素性を勘繰ることには興味がないので脇におきます。また、「元ネタ」という言葉は意味がよくわからないのでパス。残りの部分に反応します。

      タレコミには、
      >google.com のクッキーがすべて取得できてしまうため、セキュリティ的にはかなり危なかった可能性がありますが、
      とありますが、これは間違いなく本当のことなのでしょうか。

      間違いなく本当です。

      と誰かが書いたら信じるのでしょうか……。自分で確かめてください。ほかに本当かどうかを知る方法などありません。とはいえ、既に脆弱性は修正済みだそうなので、自分でやってみるわけにはいきません。

      本当かどうかを確かめるための手段として、タレコミ文中にリンクがあります。幸い Google Blogoscoped の当該記事は先頭に要約が書かれていて、そこを読むだけでも重要な部分が理解できるようになっています。 Google Blogoscoped 記事の内容が本当かどうかは、先頭部分だけを読んでも判断がつかないかもしれませんが、下まで読めばかなり説得力があると思います。また、このブログは Google のサービスに関する非公式なブログの中ではかなり有名です。

      どこかの詐欺師がghs.google.comを悪用できることを知っていて、わざとやっていたらなんて想像するだけでもぞっとします。

      僕の知る限り、その可能性は今のところ否定できません。また、 Google Blogoscoped の記事によれば、 ghs.google.com 以外にもいくつかのドメイン名が同じように使えたそうで、それらも悪用されていなかったとは限りません。ぞっとしますか? 怖いと思わない人がいてもべつにいいですが、僕は怖いと思います。

      僕はこのストーリーのコメントでいろいろ茶化して書いていますが、これは運悪く悪用されたら広範な影響がありうる、大変怖い脆弱性だと思っています。しかも運悪く僕は Google アカウントを持っていて、これはひとごとではありません。だからこそ、 Google にはこの脆弱性の影響の分析を出してほしいのですが、今のところ僕はそもそも Google が公式にこの脆弱性について何かコメントを出しているのかどうかすらわかりません。

      シェア
      親コメント
typodupeerror

開いた括弧は必ず閉じる -- あるプログラマー