Follow

ことの経緯がはっきりするまでバリュー・ドメインがレジストラのサイトにはログインしない方がいいかもよね(どうやって見分けるんだ)

今回はたぶん被害はなかったと思いたいけれど、123.123.123.1や123.123.123.2の持ち主がPawooのユーザーのログインを盗みたかった場合には、

1. 123.123.123.1や123.123.123.2にpawoo.netのクエリが来たら自分が管理しているhttpサーバのIPアドレスを返す
2. Let's Encryptでpawoo.netのSSL証明書を作ってもらってインストールする (Let's EncryptはDNSが信頼できることを前提にしてドメインを検証する)
3. Pawooのユーザーのブラウザがセッショントークンと一緒にリクエストを送る

という手順でログインを盗めた状態になってたんよね。

· · Web · 0 · 1 · 2
Sign in to participate in the conversation
zundon

Zundon is a single user instance as home of @zundan as well as a test bed for changes of the code.