しゃおの雑記帳 - 携帯サイトセキュリティTODOリスト
前回のエントリ “携帯サイト開発者のためのセキュリティ再入門” が割と広範囲にお読みいただけているようです。ありがとうございます。ただあの記事は単に列挙しただけなので「何をまずやればいいのか」具体的なものが見えてこない気がしますのでメモとして再構成してみました。前回書いたように「契約者IDによるかんたんログイン機能を撤廃しよう」がすぐにできるのであればいいですが、なかなかできないのが現実でしょうから、「緊急度の高い対策」から順に扱っていこうと思います。 契約者ID(UID)で認証しているサイトはすぐにやろう キャリアのIP帯、User Agent、UIDのペアを確実に検証するようにする 例えばドコモのIP帯 + ドコモのUser Agent + X-DCMGUID でのみ認証できるようにします。 もし [携帯電話のIP帯 (各キャリアのリストをマージしたもの) + ドコモの User Ag
高木先生と河野先生がバトルなう
Hiromitsu Takagi @HiromitsuTakagi まず広めなくてはいけないのは、契約者固有IDが無くても「簡単ログイン」は実現できる（一部の機種を除いて）という認識。「IDがなくなると簡単ログインできなくなるじゃん」と言わせないようにすること。 2010-04-28 17:28:17 Hiromitsu Takagi @HiromitsuTakagi そもそも「簡単ログイン」ボタンがあるUIがおかしい。だって、押せば入れるんだから事実上それは「ログアウト不可」状態なんであって、だったらはじめっから入りっぱなしでいいわけで、ボタンがある意味が無い。なんでこんなのが広まっているのか。で、PCではそれをcookieで実現してきた。 2010-04-28 17:31:08
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
