質問

利用方法について
別ユーザのユーザページが表示されました (iOS版Chrome)
by くまお パソコン
2014年05月19日 21:52投稿
既に他ユーザの方が報告されているのと同じ現象ですが、iPhone4S上のChromeで、なろうにログインしたままユーザページをリロードしたところ、別ユーザのユーザページが表示されました。
一旦ログアウト→再ログインすると、しばらくは自分のユーザページが表示されるので、今日1日別のユーザページが表示される度にログアウト→再ログインを繰り返していたのですが、少なくとも今日1日で3つ、自分以外のユーザページが表示されました。

ここの過去ログを見て、Chromeにログインした状態でなろうにログインするのがまずいらしいということが分かりましたので、Chromeからログアウトしたところ、とりあえず他ユーザのユーザページが見えることはなくなりました。

普段PCからはなろうにログインしないので、PC版のログインページにChromeのログインに関する警告があるのを、この問題が発生してはじめて知ったのですが、現状ではモバイル版のログインページには警告が見当たりません。モバイル版のログインページにもPC版と同様のメッセージを表示した方が良いのではないでしょうか (もちろん、このような問題が発生しないように対処していただくのが最善かつ最優先かと思いますが)。
よろしくお願いいたします。
Re:別ユーザのユーザページが表示されました
2014年05月19日 23:23投稿
 ここはユーザー同士の質問回答の場です。
 運営会社への要望であれば下部メニューからリンクされているお問い合わせフォーム(http://syosetu.com/inquire/input/)をご利用ください。


 なお、Chromeのログイン機能は、各ユーザーが個人として勝手に導入しているブラウザの拡張機能およびGoogle社の提供サービスです。
 「小説家になろう」という一つのウェブサイトを運営しているに過ぎないヒナプロジェクト社が一定より踏み入って対応することは難しいのではないでしょうか。



 以下は、くまおさん個人ではなく、広く同様の事態下にあるだろう方々の参考になれば、と書かせて頂きます。


 Chromeのログイン機能は、「共有」機能であって、相互的なものです。
 つまり、あなたが他者のアカウントにログインできる状態にある時、その他方側の使用者からもあなたのアカウントが操作可能な状態にあるものと推定できます。(ページ遷移時にログイン状態が勝手に切り替わるとは、共有状態の他ユーザーがそっちのアカウントでログイン処理を行ったということでしょう。つまり互いに主導権を奪い合ってるような状態です。)
 これが「小説家になろう」サイトに限った話としては影響範囲もせいぜいお気に入り登録やメッセージ、投稿小説をいじくられる程度と言えますが、本来の影響範囲はもっと普遍的なものです。もしクレジットカード情報を登録した決済処理のあるショッピングサイトであれば勝手に買い物が可能でしょうし、銀行のオンライン口座であれば預金や契約を操作できてしまうかもしれません。
 そうした状態に「あなたが導入したブラウザアプリケーション」が設定されているのです。
 そしてこの危険性は、Google社のChromeログイン機能説明ページにおいて赤い太字で強く警告されています。ご利用なさっている以上は、あなたも確認済みかつ承知済みのことでいらっしゃるはずです。

 また、Chromeによる共有機能は、あくまでログイン(導入)した端末間におけるものです。
 よって、共有された端末とその使用者は、あなたの現実における行動範囲において何らかの接点ある人物および環境であるはずです。
 そしてあなたがお手元の端末からだけログアウトされても、新しく共有データが更新されることはないとはいえ、それまでに蓄積された記録データ(様々なサイトアカウントログインパスを含む)は果たして相手側から見ても廃棄されたものでしょうか?
 Google社の注意アナウンスとしては、それまでに関係した「全ての端末」からログアウト手続きおよびデータクリア処理を行う必要が述べられています。
 この対策はあなたご自身が行動されない限り完了することはないでしょう……。
Re:別ユーザのユーザページが表示されました
2014年05月21日 08:38投稿
横から失礼します。

あんころ餅さん

それは原因ではないと思います。
私は個人保有以外の、他人が触ることができるマシンで個人のGoogleアカウントや小説家になろうのアカウントを使用した事はありません。
が、私も再現率100パーセントで同様のバグに遭遇します。
モバイルのchromeでのみ発生する現象である事を考えますと、小説家になろうのサーバ側でのセッション管理にセキュリティホール(と呼ぶには大き過ぎる穴ですが)が存在すると思われます。
モバイルのブラウザは一般的に同一人物による操作を判定するために使われる情報であるセッションIDがリクエストのたびに変わってしまうような困った動きをしてバグの種なのですが、
おそらく小説家になろうではその現象を回避してログイン状態を保持するために独自の同一人物判定方法を実装しているものと思われます。
そのロジックに大穴があって今回のような現象が発生したと思います。
今回の現象が起こり始める直前、なろうのページを表示しようとするたびにログアウト状態になっている、という別の現象が発生していた期間がしばらくありました。
おそらく、その現象を修正してログイン状態を維持できるようにした時にやらかしたのでしょう。
もう一つの可能性としては、なろうのセッション管理方法は以前から変わっていなかったとしても、chrome自体のセッション管理方法が変わった場合に同様の現象が起こり得ますが、そんな事があったら先日のIE騒動を超える世界的な大問題になってるはずなので可能性は低いでしょう。
高確率でなろうの独自の問題だと推測しています。
別の問題ではないでしょうか
2014年05月22日 01:43投稿
> ながも~ さん

 1.
 別の話をあいまいに混ぜ込む行為は、目にする方々に無用な混乱を招きかねないので、お止めください。

 当質問主のくまおさんは、初めからそのご発言において、

 > Chromeからログアウトしたところ、とりあえず他ユーザのユーザページが見えることはなくなりました。

 とおっしゃられています。
 この明らかな意味するところをご理解頂けますでしょうか。
 双方のご発言をともに是であると仮定した場合、言及されている事柄は「別事象」であると論理的にご判断頂けるはずです。


 2.
 質問主のくまおさんと、私(あんころ)が言及した事柄は、「ユーザー自身の権限管理」にまつわる事柄および問題性であったため、ここ質問板すなわち「ユーザー同士の質問と回答の場」でやり取りしまた衆目の目に示す意味がありました。
 対し、ながも~さんの言及された事柄はユーザー側が知ったところで改善行動できるところにありますでしょうか。
 サーバー側のプログラム改修が必要であるならば、それが可能であるのは運営会社側だけあり、ここ質問板で要求されてもどうしようもありません。
 これも上述済みですが、運営会社へのお問い合わせフォーム(http://syosetu.com/inquire/input/)をご利用ください。


 3.
 ながも~さんの提示されている問題が真であるとした場合、特定条件化で100%通用するアカウントハック(クラッキング/不正ログイン)手法が存在するとなります。
 そしてながも~さんがその問題性を承知の上でありながら幾度も他人のアカウントを乗っ取り続けている、となります。
 本当にそれでよろしいのですか?

 ながも~さんのご発言から、技術的見地から一定の見解を下せるほどに知識と経験を培っておられるのであれば、もし仮にそうした問題を発見した場合は速やかかつ密やかに運営組織へ報告すべきことであり、下手に衆目の目に晒すべきでないという論理も御存じのことのはず。
 その危険性に関しては今さら説明するまでもないでしょう。

 そして、ここ質問板はユーザー同士の質問回答の場であって、運営組織に行動を望むならここに発言を投下される意義は非常に薄いものしかありません。
 問い合わせフォーム(http://syosetu.com/inquire/input/)から然るべく詳細報告を行われるべきではないでしょうか。

 (仮に、負うべき責を一向に全うしようとしない会社組織であった場合に問題を世にぶちまける、といった行為が通例としてないわけではありませんが、それは仕方なく行われる最終手段であって、とてもリスクをともなう行為であることもご理解頂けることのはずです。ながも~さんのご発言からはそこに至る必然性を伺うことができません。)


 非常に残念です。
Re:別ユーザのユーザページが表示されました
by くまお 質問者
2014年05月22日 08:14投稿
> あんころ(餅)さん

おっしゃる通り、私の当初の投稿には明らかな運営への要望があり、またこの問題について運営の見解を知りたいと思いましたので、同内容で運営に問い合わせました。

ご回答いただきありがとうございました。


> ながも~さん

私自身も、この現象はユーザがChromeのログイン機能を不用意に使用したためではなく、なろう側のログインセッションの管理ミスが原因ではないかと感じています。
※だとすると、Chromeのログイン機能を有効にした時だけ発生するというのは、奇妙な話ではありますが。

とはいえ、再現率100%で同様のバグに遭遇するということであれば、運営へお問い合わせいただくことをお勧めいたします。その際、できるだけ詳しい情報が添えてあれば、運営にとっても事態解決の大きな助けになると思います。
※さらなる情報収集のため、バグを再現し続けて欲しいということではなく、このメッセージをご覧いただいた時点で分かる限りの詳細な情報ということです。念のため。

また、バグが再現することを知りながら同様の手段でアクセスを続けることは、処分の対象となりうる危険な行為だと思います。
運営から、Chromeのログイン機能を無効にするよう注意書きがある(発生する現象の重大さを鑑みれば、現状では注意喚起が足りないとは思いますが)以上、まずはそれに従うことをお勧めします。

ご意見ありがとうございました。
質問の返信にはログインが必要です。
ログインやアカウント作成は以下のボタンから行えます。