はじめに

クロスドメイン(複数のドメインをまたぐ)でcookieをiframeを使用してセットしようとした時、想像以上に歴史の深い問題にぶち当たったので調べたことをメモしてみる

何がしたかったか

「異なるドメインのcookieをiframeでセットしてデータの引き渡しをしたい」文章で書くと非常に要件は簡単だが、図にしてみた。

Cookieの決まり事

１クッキーあたり，少なくとも 4096 バイト（クッキーの名前, 値, 属性の長さの総和で）

１ドメインあたり，少なくとも 50 個のクッキー

全部で少なくとも 3000 個のクッキー

一部の UA は第三者主体クッキーのふるまいを制約する。例えば，これらの UA の一部は、第三者主体へ向けたリクエストの中の Cookie ヘッダの送信を拒否する。他のものは、第三者主体へのリクエストに対する応答の中の Set-Cookie ヘッダの処理を拒否する。

これによりhoge.comはvar.comのcookieにアクセス出来ない。

そのため、hoge.comにいる間に、var.comのcookieを生成してhoge.comとvar.comで同じ値を使用できるように考えてみた。

ハマったこと

1.&アンパサンドがiframeのsrcに使えない

iframeのsrcに渡すURLにクエリパラメータを使用すると IEでは XSSと判定される

<iframe src="hoge.com?ie=have&many=problem"></iframe>

ここによると Text in HTML and HTML attributes: escape & < > " ' as & < > " ' ということで&もエスケープしないといけないらしい。

2.IEの場合にdocument.writeでiframeが生成できない

Chrome / Firefoxなどでは下記の書き方でiframeを展開してくれるが、IEだと動作してくれない。
iframe 要素内に動的に script 要素を出力すると Internet Explorer が応答なしになる場合がある

<!DOCTYPE html>
<html>
<head>
<meta http-equiv="X-UA-Compatible"/>
</head>
<body>
<script type="text/javascript">
window.onload = function() {
    var iframe = document.createElement("iframe");
    document.body.appendChild(iframe);
    var doc = iframe.contentDocument || iframe.contentWindow.document;
    doc.write("<script src='script.js'>\x3c/script>");
    doc.close();
}
</script>
</body>
</html>

3.IEがcookieをセットしてくれない

P3P(The Platform for Privacy Preferences)

IEにも対応したP3Pの設定を行う為には（一般的に）

P3Pポリシーを作成する
P3Pポリシー参照ファイルを作成して、周知の存在場所(/w3c/p3p.xml)に置く
P3Pポリシーからコンパクトポリシーを作成してHTTPヘッダで出力するようにするの設定を行います。

コンパクトポリシーとは

コンパクトポリシーは、P3P ポリシー全体を要約したものです。コンパクトポリシーはパフォーマンスを最適化するためのもので、これにより、ユーザーエージェントで、ポリシーの適用に関して迅速な、即座の決定が可能となります。P3P version 1 のコンパクトポリシーに含まれているのは、cookie に関連するポリシー情報のみです。P3P コンパクトポリシーの元となっている P3P ポリシー全体は、cookie 内に格納されているデータと cookie が参照している Web サイトにあるデータの両方に適用されます。コンパクトポリシーは、P3P ポリシー全体で参照されているすべての cookie を表している必要があります。
P3P のコンパクトポリシーは、ユーザーエージェントとサーバーのどちらに対しても任意のものであることに注意してください。ユーザーエージェントで、ユーザーのプライバシー基本設定を適用するために必要な情報をコンパクトポリシーから入手できない場合、ポリシー全体を取得する必要があります。

ポリシーの一例

compact-access =
"NOI" | ; for <nonident/>
"ALL" | ; for <all/>
"CAO" | ; for <contact-and-other/>
"IDC" | ; for <ident-contact/>
"OTI" | ; for <other-ident/>
"NON"   ; for <none/>

IE向けにどのサイトのこれを設定しているのか。。。？

すごく大変だけど有名なサイトはどうしてるのか？

facebookのp3p

P3Pを策定した組織、W3C (World Wide Web Consortium)は、最新のほとんどのウェブブラウザがP3Pを完全にはサポートしていないことから、数年前にこの標準化作業を中断しました。結果として、現在ではP3P規格は時代遅れとなり、現在ウェブサイトで使用されている技術を反映しておらず、そのため、今ではほとんどのウェブサイトはP3Pポリシーを使用していません。

ヘッダーを確認してみる

$ curl -LI http://www.facebook.com
P3P: CP="Facebook does not have a P3P policy. Learn why here: http://fb.me/p3p"

googleのp3p

ブラウザの中には P3P プロトコル（リンク先は英語）によるプライバシーポリシーを使用するようサードパーティ Cookie に求めるものがありますが、P3P プロトコルはこのような状況を想定して設計されてはいません。

ヘッダーを確認してみる

$ curl -LI http://www.google.co.jp
P3P: CP="This is not a P3P policy! See http://www.google.com/support/accounts/bin/answer.py?hl=en&answer=151657 for more info."

お？使わないってオプションがあるのか！？

念のため色々なところのp3pヘッダを見てみる

P3P: policyref="http://privacy.yahoo.co.jp/w3c/p3p_jp.xml", CP="CAO DSP COR CUR ADM DEV TAI PSA PSD IVAi IVDi CONi TELo OTPi OUR DELi SAMi OTRi UNRi PUBi IND PHY ONL UNI PUR FIN COM NAV INT DEM CNT STA POL HEA PRE GOV"

P3P: CP="CAO CUR ADM DEV PSA PSD OUR"

P3P: CP="ALL IND DSP COR ADM CONo CUR CUSo IVAo IVDo PSA PSD TAI TELo OUR SAMo CNT COM INT NAV ONL PHY PRE PUR UNI"

さすがMicrosoftは色々設定してある...

4.X-Frame-optionによりiframeを止められる

クリッキングジャック攻撃を防止するためにX-Frame-Options レスポンスヘッダの設定が出来るのですが、コレによりiframeそのものが使用できない。

再度ヘッダを確認してみる。

$ curl -LI https://www.google.com
X-Frame-Options: SAMEORIGIN

オプション	内容
DENY	サイト側の意図に関わらず、ページをフレーム内に表示することはできない
SAMEORIGIN	自身と生成元が同じフレーム内に限り、ページを表示することができる
ALLOW-FROM uri	指定された生成元に限り、ページをフレーム内に表示できる

まとめ

3rd party cookieについて昔から問題になっていることと、さらにセキュリティによる対策が何重にもなってきているためきちんと理解してないと、やりたいことだけでは設計だけではうまくいかないなとつくづく思いました

そのクロスドメインでcookie使えてますか？