続:携帯で端末ID詐称は可能かもしれない話 | [ bROOM.LOG ! ]

「SSL対応」という箇所がある。docomoのUTNとSBシリアル番号およびauのEZ番号のみが○である。 SB公式UID(x-jphone-uid)はSSLゲートウェイを指定すればOKだが他については全て×だ。 これは大変重要な事実を示している。 UTNとSBシリアル番号が○なのは当然だ。SSLはポイント・トゥー・ポイントプロトコルであり、つまりブラウザ (この場合は端末)とWEBサーバーが直接暗号通信することで通信が傍受されたり改変されないことを保証するからだ。逆に言えば通常の携帯ゲートウェイがこの直接通信に介入することはできない(SSLゲートウェイは端末<->SSLゲートウェイ<->WEBサーバという2つの通信を見かけ上束ねているだけだ)。 なのでiモードIDやNULLGWDOCOMO、SB公式uidがSSLに対応しないのはゲートウェイでHTTPヘッダーを付加する必要があるから、と理

[ghostbass]

へえ

[setamise]

端末ID：auの端末ID（EZ番号）は端末から直接送信しておりゲートウェイは何らチェックをしていない→したがって、端末側で偽装し放題になっているのではないかという指摘。

[kogawam]

wifi携帯ってIPSec張ってるんだっけ確か。あれ興味深い。

[MinazukiBakera]

例の件が公表されたときに改めてコメントしたい感じ。公表されないかもしれませんけれど。

[rryu]

SSL対応端末が出た時本当のSSLが使えるようになったことを好ましく思いつつゲートウェイを通らない通信ってありなのだろうかとちょっと思ったのだが、やっぱりSSLと携帯ネットワークは相容れない存在のようだ。

[mi1kman]

そろそろ網羅的な調査結果が必要

[terazzo]

この説明だと、むしろDoCoMoでSSL時にUIDが置換されないのを突いて成りすまし出来まいか。サイト側で「SSLの時はパラメータからUID取得しない」処理をしてれば問題ないけど。

[masayatter]

続:携帯で端末ID詐称は可能かもしれない話

[hiroqli]

それ以前においらauのEZ番号をヘッダに埋め込んで簡単ログインのテストをPCからやってたわけだが

[mangakoji]

すまん、ブラウザの偽装に何の問題があるのかサッパリわからないんだけど。sim番号が偽装できなければ何の問題もないんでしょ?

[FTTH]

ひろみちゅに通報せねばと思ったらそもそもブクマがひろみちゅ契機だった件ｗ

[tsupo]

「EZ番号は端末から直接送信しておりゲートウェイは何ら偽装対策を行っていないはず」

[katzchang]

auがスマートフォンを出したがらない理由？