ドコモ口座問題 - OAuth.jp

忘れそうなので一旦メモ。 ドコモ口座の問題って、こういうことでしょ？ 銀行側のAALが1を満たさないので銀行側が銀行口座を保護できない 銀行側のAALが1を満たさないので「銀行にKYCを依拠する」というサービスのLoAが1を満たさずサービスとして成り立っていない 結果としてドコモ口座のIALは1 (= dアカウント登録直後と同等) のまま 「銀行口座名義とドコモ口座名義の一致確認」と「銀行にKYCを依拠」が同時に発生してしまっている結果「銀行口座名義とドコモ口座名義の一致確認」が実質なされていない 参考) https://gist.github.com/nov/b8be7b50db48862784b470c1ae6c1718 口座の一致確認が行われていないためドコモも銀行口座を保護できない ドコモ口座側のAALは1を満たすのでドコモがドコモ口座を保護することは可能 結果として銀行口座は保護

[hot_ic]

詳しくないので略語全くわからず調べた https://www.jipdec.or.jp/sp/library/report/20171127.html

[tattyu]

ドコモ口座がメアドで簡単に大量に作れて結果リバートブルートフォース攻撃できちゃうのはどこにあたるの？FAL?。

[kazuhooku]

技術的な論点整理として分かりやすい

[mkusunok]

技術的にはそうした結論になるけど金融機関がもっと高い認証レベルの選択肢も提供しているにも関わらず収納業者が低いレベルの認証を選択している場合の責任分界点は