携帯業界の認証事情 Part2 - y-kawazの日記

先日の日記で携帯の認証に関しての考察をして、とりあえずキャリア毎のIP制限を行っていれば端末IDやユーザID認証を信用していいのでは無いか？と書いたのだが、更に調べた結果どうも怪しい実態が見えてきたので危険度と合わせて再度纏めてみようと思う。 とりあえず指摘があったので前回のテストに加えて以下を試してみました。 NO uidに指定した値 実際に送信されてくる値 8 %30%31%32%33%34%35%36%37%38%39%61%62*1 1234567890ab うわ弱っ、駄目じゃん。見事にuidの詐称が成功してしまった…。 DoCoMoのユーザIDの信頼性が地に落ちた瞬間です。 2007-03-01追記）DoCoMoスゲー！昨日は確かに上記の方法で詐称できたのに、今日はもう既に対策されとるし(^^; 今、同じことを試すと以下のメッセージが出るのみでした。 IPサイトの記述に誤りがある

[y-kawaz]

未知なのはセッションハイジャックじゃなく、DoCoMoのuidがURLエンコードによって詐称出来てしまっていた問題かと＞id:mi1kman

[setamise]

「キャリア毎にIP制限がされている上でのIDの詐称可能性」の一覧/『ユーザIDに関しては各キャリアのゲートウェイが行うもので、その正統性の保証も各キャリアが各種対策を施し続けて維持するモノだと思っています。』

[webmarksjp]

mobile

[harupiyo]

ケータイでのセッションの実装方法について考える

[silver_arrow]

端末IDの認証は詐称できる可能性はあると。

[kkmym]

端末IDの詐称とか

[mobiletelecom]

http://d.hatena.ne.jp/y-kawaz/20070224 も参照　ユーザIDや端末IDの詐称可能性、抜け道はありそうだとのことだが

[NOV1975]

結局未知のセキュリティー問題はアドホックな対応をしていくしかないわけだから、この対応の速さ自体には好感が。/誰か通報したか、検知の仕組みがあるかどちらかのように思うが。

[onk]

DoCoMo すげー！！一生ついていきます！

[mi1kman]

記事中の手法は速攻で対策されたらしいけど本当かな．でも結局アドホックなことには変わりないよね．/セッションハイジャックのどこが未知なのか＞id:NOV1975「結局未知のセキュリティー問題は〜」

[d4-1977]

認証の話

[p_chopin]

実際にテストしてみよう