高木浩光＠自宅の日記 - ここまで破綻しているケータイID認証（簡単ログイン）

■ ここまで破綻しているケータイID認証（簡単ログイン） 2009年夏、はてなブックマーク界隈では「かんたんログイン」が危ういという話題で持ち切りだった。IPアドレス制限をしていても突破できてしまうのではないかという話だった。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフトバンクの携帯用GatewayをPCで通る方法があるようです, ke-tai.org, 2009年8月4日 これは要するに次のような話だった。 まず、SoftBankの携帯電話で特定のAPN mailwebservice.softbank.ne.jp でネット接続して、所定のProxyサーバ sbwap

[fukken]

「クライアントは一切信じてはいけない」という当たり前の世界がケータイにもやって来ている、という事か//俺が対応決めるなら、端末IDの類はあくまで「自称」って扱いにして、認証は他でやる、かなー

[kamip]

なんどか見てるのでブクマ

[syo_nen33]

φ(.. )

[Hash]

> "本来、携帯電話事業者が公表するべきことであって、私からは「どうすれば安全である」という保証ができません。なぜなら、携帯電話会社のProxyゲートウェイが、どのような方針で設計されているのか不明だからです。"

[tsh71]

かんたんログインの問題点

[ksd6700]

.

[toratorarabiluna273momomtan]

簡単ログイン

[guldeen]

俺の持ってるFOMA7シリーズは、Cookie食ってくれないんだよなぁ…／買い換えろという声もあるが俺は年収153万のビンボー。だが、職場との連絡手段として携帯電話は必須。どうしろと。

[nettabo]

かんたんログインでなりすましができちゃうパターンの解説。

[diveintounlimit]

「携帯電話会社各社が仕様と実装方法を明らかにしないのだから、こんなものは早くやめるべきだ 」ご尤も。でも実装しろと言われちゃうもんだからグダグダ実装する。「古い機種も～」とか言われたらもう破綻。

[animist]

e-mobile を上手く使えば、ケータイのIP帯域からでないと接続出来ないサイトにせつぞく 出来る可能性がある。そうすると、自称でしかないケータイIDでの認証は自由に可能

[setamise]

経緯まとめ

[hirsato]

簡易認証は便利だと思っていたが思わぬ落とし穴が。この記事を書いた方には敬意を表したい。ありがとうございます。

[y2_naranja]

Twitterの携帯版公式はかんたんログインを使ってるからbasic認証が廃止されても影響ない、って…。7月は二重三重の罠

[masa_w]

自分で作ってるサイトなら簡単ログイン対応はしない。でも、仕事なら上が納得してくれんのでしょうな。できないと断言できないのがむしろ厄介という・・・

[pochi-p]

id:p-4 < 「1人1台1回」=ケータイIDでなく『携帯会社のメールアドレス』で十分可能かと。ログイン簡略はCockie実装で可能だし。

[itochan]

←このタグあってる？　　／　そうそう。　＞携帯電話会社各社が仕様と実装方法を明らかにしないのだから、こんなものは早くやめるべきだ。

[p-4]

ソフトバンクのフェムトセルはIPどうなるんだろ。はともかくこの問題を解決したいなら、個体IDを非難するより「1人1台1回」を実現する代案がないと同じことをいい続けるだけで旗色が悪いままかな。↑失礼な発言です。

[ikasamaH]

俺のメモ： IPからキャリアを判別すべし / ドメイン毎に別のIDが発行される仕組みになればいいのにね

[hiro-rock]

ガラケーはそろそろ引退するべき

[photoandart]

クッキーを食ってくれれば、問題はもっとシンプルなのだけれどなぁ

[ikeikeikeike]

前々から思ってたんだけど、この人もぅ立派なハッカーだよね。

[napsucks]

よく気づいたなぁ。脱帽。IPアドレスレンジと固有IDの紐付きをチェックするようにすれば回避できるかな

[kurokzhr]

いつかよむ

[three_ce003]

ケータイID認証

[yocchi24]

簡単ログインの脆弱性について…クライアント＆ユーザの要望との板ばさみだぁ #web #mobile

[tach_ymn]

これだけ何度も繰り返し丁寧に説明されてもまだ危険だと『認めたくない』人や組織に呆れる。

[bonnaroo]

各キャリアのIPを見て、キャリア判別すればいかがでしょう。というかIP制限に頼るセキュリテイは破綻してるのは承知。

[JORG]

どっちか言うと、理由が明らかでない上書き行為の方が問題のような気がする。仕様が仕様として存在するなら、その行為に目的がある訳だけど、特になにも宣言せずにやっちゃってる訳だし

[mohno]

田舎にいたときは、出かけるときに家の鍵をかけたりしなかったけど、別に問題なかったんだよな。それで泥棒にでも入られていたら、身にしみて鍵をかけるようになったんだろうけど。

[umaemong]

ここまで詳細な説明がないと危険性が伝わらないということか。技術者相手に「固定IDは危険」という当たり前の一言で済まないのは残念。