[adiary2] かんたんログイン認証の脆弱性対策

今はかんたんログイン脆弱性がブームなようです。今更何言ってるんだという感じですが、一応adiary内部でどのようにかんたんアクセスを処理しているか書いておきます。 かんたんログインとは adiaryの実装 しかし別の問題が…… とりあえず かんたんログインとは 携帯の機種固有IDを使用した自動ログイン機能のことです。Cookieを実装する気のない某殿様商売通信キャリアの存在が一気に利用を広げました。 機種固有IDは、USER-AGENTなどのHTTPヘッダによって送信されます。HTTPについて知っている人ならすぐわかることですが、このヘッダは誰でも簡単に任意の値で送信することができるため何のセキュリティにもなりません。例えるなら、掲示板に書き込む際の名前欄で承認しているようなものです。しかも比較的単純な通し番号なので、秘匿性もあったものではありません。*1 adiaryの実装 もともとこん

[kaito834]

adiary における「かんたんログイン」機能の実装について。機種固有IDを直接使うのではなく、それからハッシュ値を生成し、その値を埋め込んでURLでアクセスすることで「かんたんログイン」を実装している。