h12o on Nostr: ...

自分のNIP-05認証識別子「h12o@blessedgeeks.com」はうちのウェブサーバーに置かれていて、このドメインはそもそも自分ひとりのドメインなので、`/.well-known/nostr.json`自体<s>刺身にタンポポを置く</s>ウェブサーバーにファイルを置くだけの簡単なお仕事で済む。

一方、公開されているNIP-05認証サービスの場合は、JSONインジェクションの耐性があるかが気掛かり。仮にJSONインジェクションに脆弱なら、NIP-05認証が成立しなくなることが起こりうる。

ただ、実際に試してみた場合に不正アクセス禁止法違反になるかどうかは即答できないものの、やらない方がいいのは確かだし、かといってソースコードが公開されているものはほぼないだろうから、そこからはかるわけにもいかない。だから、自分のドメインと自分のウェブサーバーがあるなら悪いことは言わないからそちらに置いた方がいいよ、ということは言える。

もっとも、誰かのドメインでNIP-05認証が通ったとしても、それは、誰かのMastodonサーバーにアカウントを作ったことと大して意味の違いはない。ちょっとミスリード的な話の進め方になってしまうが、公開鍵のすり替え自体はそこまで怖くはなくて、それより怖いのは、nostr.json処理に脆弱性があるnostrクライアントを攻撃できてしまうということだと思う。昨年、ActivityPubの処理を無限ループさせる脆弱性が発見され、それを突く意図を持ったサーバーが出現したが、それに似たことはできるだろう。nostr.json処理の脆弱性の内容によっては、リモートコード実行なども起こりうる。