Masato Kinugawa Security Blog: ドコモのSPモードでXSSっぽい文字列を含むURLへ接続できない
先日、ドコモが提供するスマートフォン用の回線であるSPモードを使用して普通にインターネットをしていたら接続できないページに出会いました。インターネットをしていて接続できないページがあるくらい珍しいことではないですが、接続できない状況が普通ではありませんでした。どうも特定の文字列がURLに含まれていると接続できなくなるようなのです。 例えば以下のようなURLに接続できません。 http://www.google.co.jp/search?q=%22%3E%3Cscript%3E このようになります。 いろいろな環境から接続を試みた結果は以下です。 × Android標準ブラウザからSPモードで接続 × Firefox MobileからSPモードで接続 × パソコンのFirefoxから携帯を使用してSPモードでテザリング接続 ○ Android標準ブラウザで自宅の無線LANからWi-Fi接続
［続報］spモード障害、なぜ処理能力オーバーで「メールアドレスの置き換え」が起きたのか
2011年12月20日に発生したNTTドコモのspモード障害（関連記事）。一部のサーバーが処理能力不足に陥ったことが、なぜ「自分のメールアドレスが他人のものに置き換わる」という通信の秘密にかかわる事故に発展したのか。大きな理由の1つは、メールアドレスが端末固有のIDでなく、端末に振り出されたIPアドレスとひも付いていた点にある。 Android OS端末がいったん3G網に接続したら、3G網から切断しない限り、端末のIPアドレスは変わらない。端末を再起動したり、あるいは3G網からWiFi網に切り替えたりしない限り、IPアドレスが再度割り振られることはない。家庭の固定網に接続したパソコンに近い仕様といえる。 この仕組みによって、Android OSにおけるIPアドレスは、一時的には端末を識別するIDとして使える。NTTドコモのspモードシステムの場合、3G網に接続して電話番号とIPアドレスをひ
ドコモ謹製Android用メディアプレイヤーのIMEI問題 - oops
音楽・動画 | サービス・機能 | NTTドコモ 担当者はさっさと切腹してください。 にわかに話題になっていますが、「どういう時に何の情報が抜かれるのか」が分かっていない人がかなり多そうなので簡単に解説。 ■まず、なにが「できない」のか こちらの方を勘違いしている人が多いので列挙しておきます ・一般のアプリが無許可でIMEIを抜くこと IMEIへのアクセスにはREAD_PHONE_STATEという許可が必要で、アプリインストール時に許可を取っていないとIMEIにアクセスした途端にアプリがエラーで落ちます。ユーザがREAD_PHONE_STATEを承認しなければ抜けません。 (ただしREAD_PHONE_STATEの説明文が分かりにくいとか、承認範囲をもっと細分化すべきといった指摘はあります。とりあえず今回の問題とは別です) ・ドコモ謹製メディアプレイヤーがインストールされていないA
Androidのデバイス依存メモ[カメラ周り] : 管理人@Yoski
さぁこれから Android な開発始めよう！って人には是非同じ苦しみを味わって欲しいので こんなエントリ書かずに影でこっそり皆が苦しむ様子を楽しんでいようと思ったのだけど、ま、残しておきますかね。デバイス依存系の問題。今回苦しんだ分だけでも。 ※こちらの勘違いもあるかもしれないので、あくまでもメモということで。。 - OSのバージョン依存の問題 Android はカメラが使えるのだけど、Android 2.1 までは横向きにしか使えません。Android 2.2 から縦可能ね（ここコダワリだった）。でもってインカメラ使いたいときは Android 2.3 以降。 ん？Android 2.2 の端末でインカメラあるやつあるよね？って気付いた人はまさに悲劇への第一歩。 実装方法は、例えばある機種では、 Camera.Parameters.set("camera_id", 2) のようにします
緊急速報「エリアメール」とは | サービス・機能 | NTTドコモ
Flash形式のファイルをご覧いただくには、アドビシステムズ社から無償提供されている（別ウインドウが開きます）Adobe® Flash® Player プラグインが必要です。
震災の援助に携帯の充電器を制作 | 組み込みとつぶやき-高田馬場
組み込みとつぶやき-高田馬場 このブログは更新を停止。Twitterのアーカイブになっています。 http://blog.suga41.com にて更新中です。 ソーラーバイクレース実行委員会では先の大震災の被災地支援として携帯電話のソーラー充電器を製作しました。 これは、ソーラーバイクレース実行委員会がスポンサーより提供されていたソーラーパネルにDC-DCコンバータ回路をつけた、電気がなくても携帯の充電ができる装置です。 自動車のバッテリーも接続できるようになっています。バッテリーを接続すると、太陽が出ている間にバッテリーに充電して、太陽光が当たらなくなっても連続して携帯に充電できます。 ソーラーの充電器を検索してみましたが、ソーラーパネルが手のひらサイズぐらいの個人用ばかりで、意外にもこのような大型の充電器は世の中にはありませんね。このぐらい大きなソーラーパネルを使うと、20?60分で
日本でもiPhone一社独占販売体制に終わりの予感？ － ＠IT
あるルートから入手した、1月に作成されたiPhoneの販売数に関するソフトバンクモバイル（SBM）の内部資料に触れる機会を得た。そこでは、iPhoneの販売実績や2011年度の販売計画に加え、NTTドコモがiPhoneを導入した場合の販売台数減なども予想している。 それによると、2011年度もSBMがiPhoneを独占販売した場合、予測販売台数は470万台（新規267万台、機種変更203万台）を達成する見通しだ。一方、NTTドコモもiPhoneを導入した場合、SBMの販売数は252万台にまで激減するとある。つまり、SBMによる独占販売が終了すると、218万人のユーザーがドコモに流れるという予想が一部にあるわけだ。また、SBMからドコモへの流出だけでなく、ドコモが新たに356万台の新規iPhoneユーザー（＝他機種からの乗り換えも含む）を獲得するとも予想されている。 この資料では、iPhon
高木浩光＠自宅の日記 - かんたんログイン方式で漏洩事故が発生
■ かんたんログイン方式で漏洩事故が発生 ガラケーからiPhoneに乗り換えた人々が「ガラケーサイトが見れない!!」とご不満らしいという話は、聞いたことがあったし、そういう方々向けに「ガラケーサイトを閲覧できる」と謳うスマホ用の専用ソフトが提供されたというのも、どこかで見た記憶があった。 そんな10月9日の夜遅く、ある方から、「iPhone用のSBrowserというアプリで、クロネコヤマトのサイトを使ったら、知らない人の個人情報が出てきてびっくりした。どうしたらいいか」という相談が舞い込んできた。 早速、iTunes Appストアで「SBrowser」の商品説明ページを見に行ったところ、数々の雑言レビューが付いており（図1）、この種のアプリの需要とユーザ層が見えた。
“なりすまし”で閲覧 ケータイで個人情報流出
「iPhone」などのスマートフォンを利用し、インターネットの携帯サイトに接続すると、他人の個人情報を閲覧できてしまうことが分かりました。通常、スマートフォンでは、インターネットの携帯サイトの閲覧はできません。しかし、特定のソフトを使ってIDを入手すると、サイトの閲覧が可能になります。このソフトが複数の端末に同じIDを割り当てていたため、サイト側が同一人物と認識したことが原因です。 問題が起きたのは、携帯サイトの「クロネコヤマトモバイルサイト」です。「エスブラウザ」というスマートフォン専用のソフトを使うことによって、IDだけで個人認証をしているヤマト運輸のサイトで被害者本人になりすまし、氏名や住所、メールアドレスなどの個人情報を閲覧するケースが少なくとも2件あったということです。ヤマト運輸は、携帯サイトにパスワード入力を設定し、現在はIDだけでできる閲覧を防ぐとともにほかのスマートフォン
ｉＰｈｏｎｅで他人の情報…携帯ＩＤ認証に穴(変更前: 「ｉＰｈｏｎｅで人の情報丸見え…閲覧ソフト原因」) : 社会 : YOMIURI ONLINE（読売新聞）
高機能携帯電話・スマートフォン「ｉＰｈｏｎｅ（アイフォーン）」で携帯サイトにアクセスしたら、他人の会員ページに入り、個人情報を“盗み見”してしまった――。 アイフォーン利用者の間でそんなトラブルが起きている。本来、携帯サイトの閲覧はできないスマートフォンに、携帯電話の識別番号（携帯ＩＤ）を付与して一般の携帯電話に「なりすまし」て、サイト閲覧を可能にするソフトが原因だ。会員の情報が漏れていた宅配大手「ヤマト運輸」（東京都）では、サービスの一部を停止し、被害状況の調査を始めた。 トラブルが起きたのは、ヤマト運輸の「クロネコヤマトモバイルサイト」。サイト上で集荷や再配達の依頼をできるサービスで、９月末現在、パソコンでの利用者を含め約５６０万人が登録しているが、氏名、住所、電話番号、メールアドレスなどの登録情報を他人が閲覧できるケースが確認された。 少なくとも２人から閲覧されていたことが分かった首
ｉＰｈｏｎｅで人の情報丸見え…閲覧ソフト原因 : 社会 : YOMIURI ONLINE（読売新聞）
高機能携帯電話・スマートフォン「ｉＰｈｏｎｅ（アイフォーン）」で携帯サイトにアクセスしたら、他人の会員ページに入り、個人情報を“盗み見”してしまった――。 アイフォーン利用者の間でそんなトラブルが起きている。本来、携帯サイトの閲覧はできないスマートフォンに、携帯電話の識別番号（携帯ＩＤ）を付与して一般の携帯電話に「なりすまし」て、サイト閲覧を可能にするソフトが原因だ。会員の情報が漏れていた宅配大手「ヤマト運輸」（東京都）では、サービスの一部を停止し、被害状況の調査を始めた。 トラブルが起きたのは、ヤマト運輸の「クロネコヤマトモバイルサイト」。サイト上で集荷や再配達の依頼をできるサービスで、９月末現在、パソコンでの利用者を含め約５６０万人が登録しているが、氏名、住所、電話番号、メールアドレスなどの登録情報を他人が閲覧できるケースが確認された。
セキュリティ情報 - Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題
文書番号HASHC2010052401 Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題 HASHコンサルティング株式会社 公開日:2010年5月24日 概要 昨年11月24日づけアドバイザリにて、iモードブラウザ2.0のJavaScriptにより、携帯端末に割り当てられたID（以下、端末固有ID）を利用した認証機能（以下、かんたんログイン）に対する不正アクセスが可能となる場合があることを報告した。その後の調査により、同種の問題がYahoo!ケータイのブラウザ(通信事業者はソフトバンクモバイル)でも発生することを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者およびYahoo!ケータイ利用者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザに用意された端末固有IDを利用した簡易的な認証であり、ユーザがIDやパスワード
高木浩光＠自宅の日記 - ケータイIDに添えて年齢情報も送信されるようになる？
■ ケータイIDに添えて年齢情報も送信されるようになる？ 4月9日、「利用者視点を踏まえた（略）諸問題に関する研究会」の第二次提言案が公表された。 「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」第二次提言（案）に対する意見募集, 総合通信基盤局電気通信事業部消費者行政課, 2010年4月9日 この提言案には重要な論点が複数含まれている。特に、今このタイミングで一般市民が広く察知して議論を深めておく必要性が高いと私が思うのは、「I CGMに関する検討について」の「2.青少年保護に向けた取組強化について」の「利用者年齢認証の確実化」の部分。 ここに書かれている文章はクネクネクネクネして文章の論理構造を把握しづらいものになっているので、以下に階層的箇条書きでまとめてみる。（脚註は私によるツッコミ。今時間がないので後日追加する予定。） 年齢認証の確実化を巡る課題 趣旨：SNSなど
高木浩光＠自宅の日記 - はてなのかんたんログインがオッピロゲだった件
■ はてなのかんたんログインがオッピロゲだった件 かんたんログイン手法の脆弱性に対する責任は誰にあるのか, 徳丸浩の日記, 2010年2月12日 といった問題が指摘されているところだが、それ以前の話があるので書いておかねばならない。 昨年夏の話。 2009年8月初め、はてなブックマーク界隈では、ケータイサイトの「iモードID」などの契約者固有IDを用いた、いわゆる「かんたんログイン」機能の実装が危ういという話題で持ち切りだった。かんたんログイン実装のために必須の、IPアドレス制限*1を突破できてしまうのではないかという話だ。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフ
最新２９機種ドコモ携帯、個人情報流出の恐れ : 社会 : YOMIURI ONLINE（読売新聞）
ＮＴＴドコモの携帯電話のうち、インターネット閲覧ソフト「ｉモードブラウザ２・０」を搭載した最新２９機種を通じて、利用者の個人情報を不正取得される恐れのあることが、専門家の指摘で明らかになった。 同社は携帯サイトの運営者にパスワード認証などの安全対策を呼びかけている。携帯電話の機能が高機能化するにつれ、こうした危険は増しており、利用者も注意が必要になってきた。 該当機種は、昨年５月以降に発表されたプロシリーズやスタイルシリーズなど。ｉモードブラウザ２・０は、ジャバスクリプトと呼ばれる機能が組み込まれており、携帯用のインターネットサイトと自動で情報をやりとりできる。 悪意ある携帯用サイトは、接続してきた利用者の携帯のジャバスクリプトを使って、利用者が会員になっている別のサイトに一瞬だけ接続させることができる。その時、この会員サイトに利用者の住所など個人データが登録されていると、盗み出されてしま
asahi.com（朝日新聞社）：ドコモ新携帯、不具合あった新機能削除し発売へ - 携帯電話 - デジタル
ＮＴＴドコモは２８日、夏商戦向けの新携帯端末１３機種について、地図を滑らかに映し出す新機能を削除したうえで売り出すと発表した。新機能の基になるソフトウエアが原因で、ｉモード接続時に正しく動作しないトラブルが続出しているため。発売直後のつまずきで、ドコモの夏商戦の出遅れは必至だ。 ドコモは、今月発売のＰＲＩＭＥシリーズの２機種で不具合が相次いで見つかり販売停止になったため、詳しい原因を分析。ネット閲覧ソフトに新しく「ジャバスクリプト」機能を加えたことに不具合の理由があるとわかった。 このため、ＮＥＣ、パナソニック、富士通、シャープ製の計１３機種について、新機能をいったん停止して発売することにした。約１カ月後にドコモ側でシステムを更新すれば、手続きなしで新機能が利用できるようになる見通し。ドコモはトラブルを踏まえて、発売前の検査態勢を見直す方針。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
YOMIURI ONLINEに掲載された「iPhoneで人の情報丸見え」記事について、当事者から。
ドコモの「T-01A」、通話時の不具合を解消するアップデート
作ろうiモード：iモードブラウザ2.0対応DOMについて | サービス・機能 | NTTドコモ