Kazuho@Cybozu Labs

　はてな認証 API における cert の使用法においては、

条件A) cert が第三者に漏洩しない
条件B) cert を最初に使うのがサードパーティアプリケーションである

のいずれかが満たされれば良いです。

　しかし、実際のところ cert が漏洩した場合に条件 B を破る (攻撃者の ?cert=... リクエストが、正規ユーザーのリクエストよりも先に処理されるようにする) ような攻撃を構築することは可能なので cert が漏洩する＝セッションハイジャックが可能^注3になる、と考えなければなりません。

　じゃあ、どういう場合に、cert が漏れるか、ということですが、

・ブラウザの脆弱性 (ドメイン間の分離に不具合があるようなケース)
・ツールバーの類が (URL の ? 以降を) を別サイトに送信している

といったケースが考えられるでしょうか。

　(ブラウザの脆弱性のような) クライアント側の問題には対応しない、というスタンスも、もちろんアリだと思いますが、個人的には、プロトコルレベルで改善できる問題は直しておいた方がいいんじゃないか、と思います。とりあえずは、 POST に変えるべきなんじゃないかな、と思います^注2。

2006/5/10 追記:
　サードパーティアプリケーション側で認証リンクを生成する前にセッションを開始することは、この攻撃に対する回避策になりません。セッションの発行対象が正規ユーザーなのか、攻撃者なのか、サードパーティアプリケーションからは判別できないからです。

注1: cert がワンタイムだから問題ないよ、という主張は間違いだということです
注2: 暗号化して送るようにする、というのがよりベターでしょうか
注3: サードパーティアプリケーションがセッションハイジャックされる (攻撃者がサードパーティアプリケーションにログインできてしまう) という意味です

元原稿がぐちゃぐちゃだったので、書き直しました。すいません。↓が元記事です。