■Quoraのログイン周りの挙動を見直してみる

こんばんは、ritouです。

tzmtkが軽ーくふってきたネタに軽々しく食いついてしまい、一昔前に素晴らしいQ&Aサービスだとか言われて登録までやったQuoraのログイン周りの挙動を見直してみました。

http://www.quora.com

一回ログインしたらもうパスワードいらないモード

まずは、ログインしてみましょう。

の前に、何やらログインボックスの前に書いてあります。

"Let me login without a password on this browser"

→このブラウザではパスワードなしでログインさせる？

よくある"ログイン状態を保存する"的な意味合いではありません。

後で説明するのでまずはこのチェックをつけたまま進めてみます。

メールアドレスを入力します。

パスワードを入れる前にメールアドレスを入力した瞬間、画面に私の登録しているアイコン画像と名前が表示されました。

この件については以前もエントリを書いたことがあります。

Quoraのログイン画面はメールアドレスからユーザーのお名前を教えてくれる！ - r-weblife

登録されていないメールアドレスを入力した場合、このような画面が表示されます。

"No account found for this email address.To create an account, sign up for Quora."

このメールアドレスで登録されているアカウントは存在しませんと表示しています。

上記エントリにも書きましたが、

メールアドレス入力時点でユーザーが存在しているかどうかチェックをしているため、第3者も任意のメールアドレスがQuoraに登録済かどうかを確認できる。

ということは、

悪意のある第3者が任意のメールアドレスがQuoraに登録済かどうかを確認可能であるためメールアドレスを固定して様々なPWを指定してログイン施行を行う攻撃が容易である

ということになります。

他の人からもこの仕様が良くないという指摘を受けていたにもかかわらず変わっていないのでちょっとイラっとしてきたので、今回は、HTTP Headerからメールアドレスが有効かどうかのチェックを行うURLを覗いてみると、

http://www.quora.com/webnode2/server_call_POST

に投げているようです。

パラメータまで解析するのはやめておきますが、ちょっと工夫すれば悪い人たちがEmailのリストに対してガーッとチェックすることぐらいはできそうですね。

さて、ログインするのを忘れていましたので正しいパスワードを入れるとログインできます。

この後、Logoutボタンを押した場合にこのような画面になります。

この状態からもう一度アイコン画像をクリックすると、ログイン状態になります。

www.quora.comからやり直しても同じようにアイコン選択でログイン可能です。

アイコン画像の右上の×もしくは"Login As Another User"リンクをクリックすると最初のログイン画面に戻ります。

確かにログイン時にチェックした"Let me login without a password on this browser"ですね。

WindowsとかでPW設定していないユーザーはログオフしても、再びアイコン画像をクリックするとログインできるあの挙動に似ています。ということで、複数アカウント利用時にパスワード再入力なしでアカウントを切り替えさせたいということなのではないでしょうか。

Account Chooserの方向性と同じですが、PWなしでアカウント切り替えさせるのはやはり少しやりすぎかなと思います。

ログインその２

"Let me login without a password on this browser"のチェックボックスをOFFにすると、ログアウト時にアイコン画像の上に鍵マークがつき、クリック時にPWの再入力が必要になります。

これは現在考えられているAccount Chooserのアカウントスイッチの挙動に似ていますね。

これはまぁ、良いんじゃないかな(上から目線)。

ということで、ログイン時にはこのチェックはずすことにします。

リモートログアウト機能もあるので心配ならそれでログアウトさせても良いかと思います。

今日はここまで。ではまた！

ツイートする

Permalink | コメント(0) | トラックバック(0) | 22:34