2

ユーザーが記事を投稿できるようなサイトで、youTubeなどの動画サイトの動画を貼り付けできるようにiframeタグを許可したいのですが、それはセキュリティ的に見て危険でしょうか?

危険ならば何か対策などありますでしょうか。

ちなみにサイトはrailsで開発しています。

よろしくお願いします。

3 件の回答 3

4

危険です。

フィッシングなど悪意のある改竄でiframeが埋め込まれる場合もありますので、 危険であることを認識した状態から出発点として開発されたほうがいいでしょう。

動画などを埋め込めるのと同時に、他人のブラウザに悪意のあるサイトを自動表示可能なWebアプリとなります。

HTML5からはsandbox属性などでiframe上の動作を制限できますが、機能が制限されることで貼り付けたかった機能を実現できない可能性もあります。

また何かの理由でiframeの指定を修正したくなった場合(たとえばHTML4とHTML5でiframeの持つ属性が異なります)、ユーザーが好きに貼り付けたコードを修正するのは大変だと思います。

使わせない方が一番とは思いますが、仮にどうしても必要であれば(LAN内且つ仲間内でしか利用しないなど)、今思いついたのは以下の2つです。

  • URLや動画のIDだけを指定させる
    URLのチェックは行い、できればドメインも限定的にするなど安全なサイトかのチェックは別途を行った上で ひな形にサーバー側で当てはめるようにするという方法が考えられます。 基本的にはサイトに貼り付けても良いようなサイトであれば、ひな形を用意しているはずですのでできればそれを利用した方が安全と思われます。(そこをもっと手軽に且つ制限なくいろいろなサイトでやりたいという考えなのだとは思いますが)

  • ユーザーに許可を求める
    自動的に埋め込まず初期状態はソースを見せて、なにかユーザーが許可アクションを起こした場合のみ実行させる。 一般的に多くの人は自分は悪いくじを引かないと思ってますので、多くのユーザーが何も疑わずに再生ボタンを押してしまうと思うので効果は期待しない方がいいですが、 実行はユーザーにゆだねる(wikiなどで「これから先は外部のサイトです」というのと同じですね)。

2
  • ありがとうございます。危険そうなので現段階では、使えないようにしようと思います。  はてなブログなどではどうなっているのかと思いブログ記事に <iframe src="javascript:alert('XSS');"></iframe> と挿入してみた所、普通に実行されてしまいした。 はてなブログなどでは、どういった対策をしていると思われますか?
    – yuya
    Commented 2014年12月20日 7:45
  • @yuya はてなは使ってないのでわからないですが、ブログとして投稿ですか?ブログの所有者以外がコメント欄などにもiframeを投稿できたとということでしょうか? ブログの中にjavascriptも入れておけるようですね。 境界は難しいですが、ブログなどですとほとんどホームページサービスだと思いますので制限はかけていないんじゃないでしょうか(レンタルホームページスペースでもjavascriptが使えない事ってないですよね)。コメント欄は他の方が載せてくれた記事をみるに対策はなされているようですね、ここは不特定多数の人が投稿できるからだと思います。 投稿者は信用していても、コメントしている人すべてが信用できるとは限りませんよね。
    – fliedonion
    Commented 2014年12月20日 10:28
1

コメントにあった方の質問への回答になりますが、はてなブログの場合はXSS対象となりうる情報iframeで隔離しているようです。QiitaにXSS脆弱性 - Qiitaに詳細があります。(ただし編集画面でセルフXSSが出来るようですが......はてなブログにあったセルフXSS 脆弱性"&'<<>\ Advent Calendar 2014 (19日目) - ooooooo_qの日記)

Youtubeなど信頼できるリソースを定めてそのURLのみ埋め込みコードに置換する(Wordpressのように)はありかと思いますが、そもそも信頼できるリソースを定義するのは難しいですよね。

0

iframe に限らず、安全なWebサイトを作るという目的ならば、 IPA が出している 安全なウェブサイトの作り方 が良い資料ですので、 一度目を通されることをオススメしておきます。

# ちょっと質問の趣旨からは外れてしまうのですが、補足的に、より広範な基礎教養として。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。