【ＩＴ】［続報］メルカリが個人情報流出で新情報、実際は「有効期限0秒のキャッシュ」 [6/27記事]26日までの説明とは一部異なっている [無断転載禁止]©2ch.net

http://itpro.nikkeibp.co.jp/atcl/news/17/062701776/?itp_side_ranking


大森 敏行＝日経NETWORK 2017/06/27
　メルカリは2017年6月27日、メルカリWeb版での個人情報流出に関して新たな情報を同社の技術ブログで公開した。CDNのキャッシュの動作について、CDNプロバイダーと仕様について確認し検証した結果だという。同月26日までの説明とは一部異なっている点があり、ブログエントリを加筆修正した。

　メルカリは当初、「Expiresヘッダーが過去の日付であっても、Cache-Controlヘッダーが存在している場合、Expiresヘッダーの情報は考慮されない仕様になっていた」と説明していた。しかし、この内容が正確ではなかった。

　正確には、Expiresヘッダーは、Cache-Controlヘッダーにmax-age（キャッシュの有効期限を設定するキー）またはs-maxage（共有キャッシュの有効期限を設定するキー）がないときに機能していた。ただし、Expiresヘッダーに過去の日付が指定されていた場合は、このCDNプロバイダーではキャッシュの有効期限が0秒として扱われていたという。つまり、メルカリのケースでは「有効期限が0秒のキャッシュ」が存在していたことになる。

　キャッシュの有効期限が0秒になっていると、CDNからWebサーバーへのリクエスト処理を実施している間に同じURLに対してリクエストが発生すると、Webサーバーからの最初のレスポンスを待ち、二つ目以降のリクエストに対しても同じレスポンスを返す仕様になっていた。

　このため、あるユーザーがWeb版メルカリにアクセスし、メルカリのWebサーバーがレスポンスを構築している途中で、別のユーザーが同じURLにアクセスした場合、あるユーザーの情報を含むコンテンツが別のユーザーに見えてしまったという。

（くわしくはソースで）

要するに設定エラーだから俺は悪くないって言いたいのか？

>>1
違うよ。全然違うよ。

メル狩り

つまりバグだろ！

技術の検証はもちろん必要だろうけど、客には何の関係もない話

同時アクセス検証やってれば防げたってことじゃねーか
ただのバカ

キャッシュのテストをしてないとかバカかよ
アホプログラマーが多いのかね
ここ新卒多いよね、つまりそういうことです

馬鹿みたいw
cdnみたいなもんに個人情報通すかねw
ブラウザの仕様とかそんな問題じゃねーよ

なるほど、わからん

何人くらい人生終了したんだ？

騒動を知っても辞めないようなのは、もう放置で良いだろ

>>1
URLの ?itp_side_ranking は除いた方がいいかも

あーこれね
CDNをExpiresするとCache-Controlが落ちてmax-ageが過ぎてURLになるんだよな
初心者がよくやる奴だよｗｗｗ

>>14 ぜんぜん判ってない

>>1
いやだから何で他人がWEB経由で見られるん？
ヘッダがどうのキャッシュがどうのじゃなくてさ。

本来no-storeにすべきコンテンツを0-TTLに設定しちゃったのね。複数サーバで負荷試験しないと発覚しないバグ。本番環境でABテスト出来る運用を取るべき。

>>17
ああ、実環境を用意しないと発言しないバグってやっかいだよな
似たようなのにポインターがヌルでエクセプションしちゃうバグとかもあるよな

>>18

とりあえず、ガッ
オリジンからのレスポンスが過去のExpireヘッダ返すのはそもおかしいので、すぐ直しとけって感じ

アプリ版は大丈夫なんだろ？

超最先端の新発明の技術なのにテストもしなかったのか
もっと慎重に
枯れた技術も大事に

>>19
自分で書いて気付いたけどメルカリのリバースプロキシが悪さしてるのか

>>2
俺は悪くないってどこに書いてあるんだ。
この間抜け。

>>6
だが、技術の検証は必要だ。

>>8
馬鹿はお前だ。

1を見て、理解できないオツムなら書き込まないことだ。

こんなケースあるんだな。これから気を付けよう。

と思ったが、個人情報を扱ってるページにキャッシュなんか使ってなかった。

いったいどんな個人情報をCDNに流してんの？

>>9
お前何年前の知識だよw

>>16
負荷分散のために、写真とかページとかのアクセスがあると、CDNがサーバからデータを取って来て、それを渡していた。

アクセスはCDNで済む範囲なら、サーバに負荷はかからない。
CDNに無い場合はサーバに行くが、一つの写真やページについてのアクセスは一回で済むから、サーバの負荷は低くて済む。

で、この時、このページなり写真が出品の情報のようなものならば何にも問題はない。

でも、例えば応札したとかなら、先に応札した人のページと2番目に応札した人のページは内容が別にならないといけない。

だから、そういう、一人一人内容が違う可能性があるページをサーバがCDNに渡すときには、渡したら終わりで、次の人に渡さないように有効期限を設定する。

しかし、その有効期限が最初の人へページを渡そうとしていた時にすでに期限切れだったらどうなるかという話。

一般的な認識だと、そもそも最初の人に有効なページが存在しないので、誰も応札したページを見れないことになる。
これなら、個人情報は出ていかない。

実際は、保持時間0秒のページがCDNの中に生じた。
保持時間0秒だから、ほぼ同時にアクセスがないと問題ないが、ほぼ同時に最初の人の応札と2番目の人の応札があった場合、2番目の人には最初の人の個人情報が入ったページが送られることになる。

わかるかな。

なんで動的なコンテンツをキャッシュすんだよ？
おじさんにはわからん。

>>9
この場合のCDNはロードバランサ役だから、普通の使い方ではない。

>>30
1に書いてある通りだろ。

>>32
なんで？

最近、やけにＣＭ打ってるよなぁ、なんだかんだで利用者増えて儲かりまくってるのかな？

>>31
使い方が間違ってる。

>>1
仕様もクソも関係無く、マニュアルをちゃんと読まないからの設定ミスじゃん

0秒て確認して漏れてるよって通報したユーザー大統領になれるな

>>30
だからキャッシュするつもりはなかったっつーの。単にCDN通したかっただけ。

>>33
意図してキャッシュしたわけではない。

有効期限がCDN到着時に、期限切れとなっているコンテンツは保持時間0秒のキャッシュとするという仕様なんだろ。

>>38
あほ

>>35
間違っているわけでは無いさ。

メルカリのサーバが渡してるページの大半は同一コンテンツで、動的コンテンツは一部だ。

動的コンテンツで、個別のコンテンツだけデリバリーしないようにしてれば、後はCDNで配って問題無い。

>>40
アホはお前。CDN=キャッシュするためのものと思い込んでるんだろ？レベル低っ。

>>41
一緒くたにしてる時点で間違いだろ

>>42
あほ

>>44
まぁ技術の進歩についてけないおじさんは、おとなしく汎用機の面倒でも見ていてくださいw

>>43
一緒くたになんかしてないだろ？

CDNの動作がわからないなら、お前さんには話が付いていけない話題なんだから、寝てな。

うぇぶやさんもたいへんだねえ

>>47
メルカリみたいに、月間アクティブユーザが100万とか1000万のオーダーになると、物理的な戦いに近くなる。

>>46
一緒くたじゃん。それでこんなことになっちゃったんだろ。

>>14
用語が与えられてそれを使って解答しろっていうテスト問題で、全然解らなかったときに書いた解答みたい。

>>49
お前はサバのレベルとCDNのレベルを区別できてないのな。

サバのレベルでは大概のページは動的なページで、個別のコンテンツに区別はないよ。

まあ、お前さんにはわからない話だ。

CDNは一昔前は静的コンテンツを効率的に配信するために使われていたけど、
最近はミドルマイルのレイテンシを最適化するためのソリューションとして使うケースが増えてる。
ゆえに動的コンテンツもCDN経由で配信するという当たり前の判断。
この知識がないやつが、え？なんで一緒にするの？て無知を晒しているのが現状。

>>51
きゃっはー、高レベルー

>>52
馬鹿は、わからない。で良いのに、なんで食ってかかるのかね。

ブラウザ変えて同時になんかやると昔はおもしろいことになった。

>>52
で、こういうことになるわけですよ。ざまあ。

>>54
馬鹿だから。

最近始めたけどメルカリって10%の手数料は取るけど馬鹿みたいにポイントばら撒くね
リサイクル店じゃほとんど値が付かないような物もサクサク売れるのは気持ちいいよ

>>56
まぁお前みたいなレベルの人間がうちのエンジニアに居ないことを祈るわw

>>59
ﾌﾟｹﾞﾗ

意味不明の技術話で煙に巻こうって魂胆がミエミエ
仕掛けた方もバカで無知でメルカリキチガイ巣窟
運営もゴロツキかヒッピー集まり

単なる設定屋がでかい顔してる業界だからねえ

同時アクセステストしてないとかアホすぎる。

トラブルのスレで唐突に始まる謎のメル〇リ上げ。工作員さん、深夜までご苦労様ですｗ

なるほど分からん

>>63
同時アクセステストでこの問題が見つかるとなんで思うの？

よく分からんがCDNに個人情報があるってことか？

んな事ある訳ないな。

キャッシュ0秒ならキャッシュの意味ねーだろーし

大規模サイトでサクサク実現するには、ベースページごとCDNに乗せて可能な限りCDNにキャッシュさせるのが基本。
今回の問題はオリジンから過去のコンテンツが返ってくるという矛盾した状況で、CDNがTTL切れのキャッシュを返す仕様になっていたんじゃまいか（テキトー）

ガチでウェブ最速目指してないとカスリもしない障害じゃないのか。メルカリいいぞもっとやれ

>>67
少しは上のログ読め

安倍晋三「同一労働同一賃金が実現すれば、非正規の時にはなかった責任感ややる気が正規になって生まれていく！！」

>>30
そうそうそれが言いたかった

>>64
俺の事かな？
プログラミング関連の話は分からないからメルカリの話しただけだよ
別に上げたつもりはないし今回みたいな不祥事でどうなろうと知ったこっちゃないｗ

普通こういうのの管理ってデータベース使うんじゃね？

>>48

フロントサーバー4台＋CDNで事足りるだろ。
バックエンドは別として

>>71
自称高レベルなエンジニアが
簡単な設定さえできずにミスったのがこのざま。

>>71
む、また数年前で知識が止まってるやつが増えたのか。やれやれ。

>>67
0-TTLだとしてもCDN上でキャッシュはすぐ消えるわけじゃなくて、もしキャッシュが残っていた場合はオリジンとのやり取りはIf-Modified-Sinceヘッダのやり取りのみでコンテンツはCDNのデータが再利用される。
つまりオリジンはデータを送る必要がなくそのキャッシュまだ最新ｗｗｗてヘッダで通知するだけで良いので負荷が減る。

メルカリってバカがバカに安物売るには良いサイトだが手数料も微妙だから生き残れないだろな
ヤフオクから客取ってこなきゃじき終わる
ヤフオクでハイブランドや骨董を取り扱ってるガチ勢連れてこなきゃダメ

>>59
うわ、横レスだけど、こんなこと書いてる人が居るような会社とは契約しないわｗ

>>78
ユーザーサポートはメルカリのが圧倒的に手厚い
というかヤフオクはユーザーを舐めてるにもほどがある
問い合わせすらわざとさせないように相当わかりにくくしてる
所詮チョン企業
それだけに今回の件は痛いね
まあメルカリも目くそ鼻くそなんだけど

>>78
ヤフオクもワンプライス出品でプレミアム会員じゃなくても出品できるもんね
良い値で売りたい物はやっぱりヤフオクだろうなぁ
個人的には匿名配送をヤフオクでも簡単にできるようにしてほしい

お前ら、所属企業名記載の上コメントかけよ。
アホいう企業は、ＲＦＰ選定から外すから

>>78
ヤフオクは低価格帯のものが売れにくい
あとそもそも圧倒的に人口少ない
両方使い方が違う

>>1
非合法グレーゾーン非道徳なシノギしてる時点でお察し
YahooBBであくどい手口してたソフトバンクが今でも犯罪幇助してるやん？

>>76
お前みたいなんがこういう事故を起こすのさ

キャッシュしちゃいかんものをCDNを通したらいかんだろ。
アホが設計するからこうなる。

>>86
自称高レベルエンジニア君がいまはあたりまえー！とかいって発狂しだすぞ

お漏らししたメルキャリさんは今の技術をものに出来てないってことでいいんです？

なるほどわからん