この記事で指摘した脆弱性は既に修正済みです。
Office365との連携ツールのひとつです。
Office365には端末ごとにアクセスを制限する機能がありません。
例えば仕事場のパソコンからはアクセスできるけど、
自宅のパソコンからはアクセスできないようにする…ことはできないわけです。
Online Service Gateを使うと、
Office365のパスワードを隠してしまいます。
社員にはOnline Service Gateのパスワードだけが通知されます。
そしてOffice365にアクセスする際には、
必ず(認められたパソコンに入っている)Online Service Gateを使うことになります。
そうすることで、
Online Service Gateが認めたパソコンからしかアクセスできないようにするわけです。
派遣先にこれが入っていたわけなんですが、
この隠されたパスワードを覗く方法を見つけてしまいました。
問い合わせフォームに連絡を入れてから3週間以上返信もないことですし、
啓蒙活動ということで方法を公開したいと思います。
返信がないということは、
きっと取るに足らない事象なのでしょうしね。
返信がありました。
連絡が無い間、
改修を頑張っていたそうです。
キャプチャー画像を交えつつ説明していきます。
あ、環境はWindows XPとIE8で試しています。
…多少違ってもいけると思いますが。
まず、以下がログイン直後の状態です。
[OWA Helper]を選択し、Webブラウザを開きます。
そうすると何やらサインインしている画面が…
ここで画面が遷移する前にすかさずWebブラウザの停止ボタンを押します。
IE8なら上部にある赤い✕印のボタンです。
しばらくすると、画面が晴れて通常のサインイン画面になります。
さてこれで、
○Office365のURL
○ユーザーID
○パスワード
が一同に顔を合わせているのにお気づきでしょうか？
え？パスワードが伏字のままですって？
そんなの適当なフリーウェアを使えば一発ですって。
今回は「PeekPassword+」を利用させていただきました。
眼のアイコンを伏字部分にドラックアンドドロップすると…
何か出てきましたよ？
はい、これが伏字の中身になります。
ね、簡単でしょ？
補足：なぜかPeekPassword+の挙動が不安定でした。
やっぱり無理やり止めた画面相手は辛かった？
Online Service Gateを入れているような職場環境では、
そもそもフリーウェア自体が使えないかもしれません。
でも大丈夫、
少なくともIE8ならね。
IE8には、
「IE Developer Toolbar」という心強い味方がいるのです。
はい、出し方は以下の通り。
表示している画面のHTMLがツリーで表示されるので、
パスワードのテキストボックスがある位置を探してみましょう。
※結構階層が深いので骨が折れます。Findを上手く利用した方がいいです。
見つけたらそこで右クリックします。
[Element Source]を選択してやりましょう。
選んだ部分のソースが表示されます。
後はvalue属性の値が知りたかったパスワードになります。
さすがに社外で試したらクビになりかねないので、
社内のOnline Service Gateが入っていないパソコンで試しました。
すると見事にサインインが成功しました。
試しはしませんが、
きっと社外でも通用するでしょう。
ただこの隠されたパスワードは、
Online Service Gateが定期的に変更をかけるらしいです。
間隔は社内ポリシーによって違うと思うのですが、
毎日更新されたとしても十分役に立つでしょう。
会社から帰る前にパスワードを調べ、
家でサインインすればいいわけですから。
やらないですけど。
Online Service Gateはパスワードを隠すだけのツールというわけではないですが、
これでいいんでしょうかねぇ？よくないですね。
そこらへんはセキュリティに詳しい人が何か意見を出すかもしれないので放置。
追記：返信が来まして、近いうちに改善されるそうです。
改善が確認できたら、色々取り消し線を引いておくことにします。
追記2：
修正プログラムがリリースされたそうです。
自動更新されるそうなので、特に手作業は必要なさそうです。
