ケータイの流儀を常識と思いこむのは危険 | 水無月ばけらのえび日記

公開: 2009年8月6日14時10分頃 「やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 (takagi-hiromitsu.jp)」。 iPhone・iPod Touch用の「ニコニコ動画」アプリのサーバ側実装が脆弱だったというお話。iPhoneやiPod Touchの端末製造番号 (UDID) は秘密情報ではない上に詐称可能なのですが、そのUDIDに依存した認証を行っていたため、他人のUDIDが分かると、その人の非公開マイリストなどが見られてしまう……ということのようで。現在は修正されているようです。 脆弱性の話としては、認証方法の不備という単純な話なのですが、むしろ周辺の反応が興味深いですね。いちばん面白いと思ったのがこのブックマークコメント。 ツッコミがたくさん入っていますが、「流儀が違う」というのは、実は全くその通りなのですね。端末固有IDによる

[kaito834]

ここ最近の携帯向けウェブサイトのセキュリティ記事の反応に触れていて、興味深い。

[dekaino]

開発者個人の視点でいえば退化したのではなくて始めから知らない(そもそも必要ない知識)。業界の技術レベルの視点ではWEB開発からモバイル専業に枝分かれし、特殊化により文字通り退化したと言える

[monjudoh]

『高木さんが「退化」と言われているのは、「ケータイの流儀はケータイでしか通用しない、特別な、きわどいものである」という認識が薄い開発者が増えてきているのではないか、ということ』

[KoshianX]

モバイル開発はアホみたいにめんどうな手順やドキュメント読んで各キャリア対応とか不毛な事に追われてるから、まともに技術学んでるヒマもないんじゃないかと思ったりもするな。IEが3つあるようなもんなんだぜ……

[mumincacao]

認証に使うなら固有 ID はさいとごとに変えないと全さいとで同一 ID & PASS を使ってるようなものにう…　この問題って内部で認証に使ってたっぽいものをそのまま出しちゃったのも原因なのかなぁ？（´・ω・｀；【みかん

[ukstudio]

つい先日SBがアドレス削除したし、アドレスでの判断はわりとギリギリ。

[thesecret3]

端末固有番号はアクセスするドメインごとに変えればいいのに。

[kits]

「端末固有IDによる認証というのは、かなりシビアな条件の下でギリギリ成立しているような状態」

[jamg]

"ケータイの流儀はケータイサイト以外には通用しない"

[nihen]

固体識別番号認証が一般的になっている理由は、DoCoMoのCookie非対応よりも入力インターフェースが貧弱でID/PASSの入力が面倒なことの緩和という側面のほうが大きい気がしています。とすると根が深い問題なわけで。

[mtakeshidpostjp]

高木さんが「退化」と言われているのは、「ケータイの流儀はケータイでしか通用しない、特別な、きわどいものである」という認識が薄い開発者が増えてきているのではないか、ということでしょう。 ケータイ端末には

[ockeghem]

言及ありがとうございます/『端末固有IDによる認証というのは、かなりシビアな条件の下でギリギリ成立しているような状態です』<このコメントにすべて要約されていますね