ここギコ！: 勝手サイトでは、位置情報詐称だけでなくユーザ詐称も大きな敵

携帯の位置情報エンタテイメントサイトを作る際の強敵、位置情報詐称について以前取り上げましたが、勝手サイトで位置情報エンタメサイトを構築する場合、もう一つ強敵がいるように思います。 それは、DoCoMoでのセッションハイジャックによるユーザ詐称の問題です。 DoCoMoは、公式サイトだとアクセスする各ページ毎にユーザの登録者IDを返してくれるI/Fが存在するので、ユーザが詐称される危険性は存在しません。 問題は勝手サイトです。 勝手サイトでは、DoCoMoはユーザの登録者IDは通知してくれず、代わりに端末IDを返すI/Fが用意されています。 端末IDでも、機種変した場合他人になってしまうことや、端末を譲渡した場合他人が同一人物になってしまう点に注意すれば、基本的には個人認証に利用可能です。 ですが、このI/Fが曲者で、このI/Fを通じてアクセスする毎にユーザに「端末番号を伝えてもよい

[kokogiko]

>ceekz 是非ご教授くだちい UAチェックは私も考えてましたが、は○なとかはやってないみたいです。同一端末からは防げない100%の防御策ではないので、決めの問題でしょうか。勿論位置アプリでは死活なので徹底します

[nettabo]

セッションハイジャックは防げない。機種変しても同一ユーザを認証できる仕組みは必要。

[shidho]

そうか、意図的にセッションを漏らす、という話もあり得るのか。

[yappo]

どうしてセッションハイジャックされるかが書かれてないからフォローしておくと、「ユーザがセッション付きURLを友達とかにメールとかで送っちゃうと漏れる」ってことかな