アドさんのアレ見て思った。 - nothing but trouble

アドさんのアレ見て思った。 - nothing but trouble

パスワード再発行のときの、「秘密の質問」とかあって、それに生年月日指定出来たりするんだけど、実は...概要を表示 パスワード再発行のときの、「秘密の質問」とかあって、それに生年月日指定出来たりするんだけど、実は生年月日って敢えて非公開にしないと、思いっきり全体に公開とかってサービスありそうだな。 てか、それ以前に、生年月日を自分以外に公開出来るようなシステムで、「秘密の質問」で生年月日指定できるって時点で、あり得ない設計だけど。 あそこがそういう作りだったかどうか覚えてないけど、あり得る話だな。はまちちゃんが外部JSねじ込んでたし。 ちなみに、mixiの携帯更新用の返信先アドレスって、ユーザ固有の上に、誰が送ってもそのユーザの日記更新出来てしまうっていう、罠というか俺から見ると明らかな脆弱性があったけど*1、これも設計上の脆弱性だよね。 *1:今はどうか知らない。

• mixi