間違いだらけの「かんたんログイン」実装法

今回は、そのかんたんログインの問題点について説明します。 「契約者固有ID」を用いるかんたんログイン かんたんログインとは、携帯電話の「契約者固有ID」を用いたログイン手法です。 第1回で説明したように、携帯電話のブラウザのリクエストヘッダには契約者固有IDと呼ばれるIDを付けることができます。契約者固有IDは、携帯電話事業者によって詳細は異なりますが、すべての携帯電話事業者が対応しています。 図1は、NTTドコモの携帯電話がサポートしている契約者固有IDである「iモードID」がサーバに送信される様子です。この情報は、ユーザーがそれと意識することなく送信されます。携帯電話のかんたんログインとは、契約者固有IDのみを用いて認証を行い、ログイン機能を実現することです。 かんたんログインは、ベーシック認証のようにIDとパスワードを管理する必要もなく、Cookieのように対応する端末を考慮する手間

[schwarzewald]

かんたんログインってやっぱ危ないのか…

[Hash]

徳丸さんやで

[quabbin]

全部知ってる話しではあったものの、よくまとまっているのでブクマしておこう。しかしイーモバ対応の話は大分無理してない？「かんたんログイン」批判の大目的を果たすためって事情は分からなくもないけど。

[iga_k]

簡単ログイン

[gidooom]

勉強になる。スマフォ対応するならＰＣサイト向けと同様にCookie使った認証にしないと。

[sucelie]

見てる： "間違いだらけの「かんたんログイン」実装法（1/3） － ＠IT"

[kasahi]

かんたんログインむずかしい。

[kiyo_hiko]

ヘッダーを書き換えてなりすましができてしまうかんたんログイン

[monjudoh]

かんたんログインの危険性を訴え、cookie使うべきと啓蒙する記事

[hiro_y]

かんたんログインの危険性

[puchiban]

簡単ログイン

[nak812]

うーん、なるほど。みなさんご一読を。既存サイトの見直しが必要ですね。。。　⇒⇒

[XIAORING]

かんたんログイン

[kamei_rio]

【安全なログイン実装方法はやはり「Cookie」】なんだけど、ドコモですら2009年夏モデル以降で対応という

[hidehish]

見てる:

[ardarim]

要するに「かんたんログイン」は使うな！で終わりなのに懇切丁寧すぎるｗ

[umakoya]

場当たり的な対応手順とか悪い意味で参考になる。

[magi00]

全然、簡単じゃない！

[o_hiroyuki]

かんたんログインのセキュリティ

[Kmusiclife]

外注したらたまに実装されてたりするのでもっと認知させるべきだと思ふ。

[y-Aki]

iモードIDは爆発していいよ / 192.0.x.x って使っていいんだっけ / 192.0.2.xだけは使っていいのか

[manFromTomorrow]

最終的にはご本のプロモーションでワロタｗ

[maraigue]

安全性を本当に担保したければ、「携帯以外からのアクセスは確実に除外できるから」という前提は捨てないとならない、ということ。

[Lat]

知り合いの会社がHP頼んだら、もろこれで実装されてたんだよな。。。この記事を見るように連絡しなきゃ。

[vid]

『「かんたんログイン」を使用する場合は、管理情報が漏れます。それでもよければ「かんたんログイン」を選択してください』として、普通の ID/Pass とユーザーに選択させるという運用はダメだろうな（ｗ

[dekatotoro]

第2回 間違いだらけの「かんたんログイン」実装法

[KrispyBrain]

ケータイサイト, セキュリティー

[toton]

DNSリバインディング脆弱性

[uniuni-saru]

かんたんログインの見直し

[shields-pikes]

これは役に立つ記事。