「Pokemon GOでGoogleアカウント情報が丸見え」問題とは何だったのか (1/2)

関連キーワード Google | API | Android | iOS 人気のPokemon GOにセキュリティ問題が（画面はNianticのPokemon GO紹介ページ）《クリックで拡大》 爆発的人気のモバイルゲーム「Pokemon GO」に想定外の問題が発覚した。Googleのアカウントサービス「Googleアカウント」のほぼ全情報を表示・変更できる「フルアカウントアクセス」権限のトークン（許可証）を、ユーザーの許可なく取得してしまう問題だ。 開発元のNianticは、Pokemon GOの提供開始後にiOS版の修正を強いられた。Googleアカウントのフルアカウントアクセスの権限を付与するトークンが同ゲームに含まれるという、セキュリティ研究者の報告がきっかけだ。この欠陥による同アプリ自体への影響はなかったものの、トークンを偽装してなりすましをする「トークン置換攻撃」のリスクが明る

[vcc]

Nianticはフルアカウントアクセスの権限を取得するアプリケーションで通常表示されるパーミッション通知をかわせる。Googleアカウントのほぼ全情報を変更できるフルアカウントアクセス権限を、ユーザーの許可なく取得で

[tripleshot]

さらっと書かれてるけど、ユーザへの確認なしにそういうアクセス権取れるのは重大な問題な気がする、仕様なのかそれとも不具合とかがあったのか気になる。

[Fushihara]

結局ユーザーの同意なくフルアクセスのトークンが取得できたのはなんでだろう。ミスで出来るならわざとも出来るって事になると思うけど