adiary C78 Special Editionがコミックマーケット78にて配布されます。
8/14(土) 「東3ホール ア38b」 頒価100円
参加団体であるadiaryユーザ会のえらい人が多忙のため、代わりに内容を書いておきます。
Digest::SHA ないしは Digest::SHA::PurePerl を使います。よって PurePerl でも動作します。
HMAC署名についてはwikipediaを参照。
sub hmac_sha1 {
# my $self = shift;
my ($key, $msg) = @_;
my $sha1;
if ($Digest::SHA::PurePerl::VERSION) {
$sha1 = Digest::SHA::PurePerl->new(1);
} else {
eval {
require Digest::SHA;
$sha1 = Digest::SHA->new;
};
if ($@) {
require Digest::SHA::PurePerl;
$sha1 = Digest::SHA::PurePerl->new(1);
}
}
my $bs = 64;
if (length($key) > $bs) {
$key = $sha1->add($key)->digest;
$sha1->reset;
}
my $k_opad = $key ^ ("\x5c" x $bs);
my $k_ipad = $key ^ ("\x36" x $bs);
$sha1->add($k_ipad);
$sha1->add($msg);
my $hk_ipad = $sha1->digest;
$sha1->reset;
$sha1->add($k_opad, $hk_ipad);
my $b64d = $sha1->b64digest;
$b64d = substr($b64d.'====', 0, ((length($b64d)+3)>>2)<<2);
return $b64d;
}
最後に「====」を付けてやるのがポイントで、これがないとOAuthで盛大にコケます。
なおこのソースコードはPDS扱いとします。
Ver2.12に対しバグ修正を行いました。
既に Ver2.13 をお使いの方は次のパッチを落として theme/adiar.js と入れ替えてください。
なおVer2.06よりアルバムシステム関連のJavaScriptの置き場が変更になっていますので、紛らわしい場合は theme/*.js を消してから上書きしてください。
Version2.00への移行処理を先に行ってください。
今はかんたんログイン脆弱性がブームなようです。今更何言ってるんだという感じですが、一応adiary内部でどのようにかんたんアクセスを処理しているか書いておきます。
携帯の機種固有IDを使用した自動ログイン機能のことです。Cookieを実装する気のない某殿様商売通信キャリアの存在が一気に利用を広げました。
機種固有IDは、USER-AGENTなどのHTTPヘッダによって送信されます。HTTPについて知っている人ならすぐわかることですが、このヘッダは誰でも簡単に任意の値で送信することができるため何のセキュリティにもなりません。例えるなら、掲示板に書き込む際の名前欄で承認しているようなものです。しかも比較的単純な通し番号なので、秘匿性もあったものではありません。*1
もともとこんな危険なものを実装する気はなかったのですが（苦笑）、要望があったのでしぶしぶ実装しました。
右の画面がかんたんログインの実際の画面です*2。このページをブックマークしてもらい「かんたんログイン」をクリックしてもらうことでログインできます。
ID:useridの人がかんたんログインを設定したこの画面のURLは次のようになります。
http://～/adiary.cgi/=userid:LE0GdeSwSdQ/?login_docomo
LE0GdeSwSdQという文字列は「機種固有IDから生成されるハッシュ」です。adiary.conf.cgiの中の
<$Secret_phrase = '秘密の言葉'>
の設定が漏洩しない限りハッシュ文字列を第３者が知ることはできません。
仮にこのログインURLだけ漏洩しても、対応する機種固有IDが分からないとログインできません。ですので、いわゆるかんたんログイン脆弱性はadiaryには存在しないことが分かります。
次は携帯ログイン後のURLです。
http://～/adiary.cgi/=userid=kpQYloloFFF0M4Xnujjs/?login_docomo
「kpQYloloFFF0M4Xnujjs」がセッションIDになります。Cookieが使えないので仕方なくURLに埋め込んでいるのですが、リファラーからこのURLが漏れるとセッションが乗っ取られてしまいます。
ドコモはリファラを送らないことになっているみたいですが、他機種だと色々で頭の痛い問題です。
（参考）携帯電話向けWebアプリケーションのセッション管理手法
Cookieを食わせて、食べられたらそっちに誘導するように変更するか……。Cookie非対応でリファラ送信なんて機種もあるそうですが、それは端末脆弱性なんで無視かな。
Ver3のリリースが見えてきたのでこの記事の更新は停止しました。
アップデート後の必要な処理を自動的に行う機能を内蔵したので移行したい人は移行しても構わないかも。それでも一応β版ということは心に留めておいてください。
HTML構造やプラグイン構造は互換性を失う変更は予定されていませので、テーマなりプラグインなり自由に作っていただけると大変たすかります。
テーマ開発・プラグイン開発で困ったらどんどん質問してください。また完成したテーマやプラグインはライセンスや動作に問題がなければβ版の段階でも本体収録されることがあります。