高木浩光＠自宅の日記 - EZwebサイトでSession Fixation被害発生か？, サブスクライバーIDをパスワード代わりに使うべきでない理由

■ EZwebサイトでSession Fixation被害発生か？ au booksでの事故 意図的な攻撃でなく偶発的な事故なのかもしれないが、auの公式サービス「au books」のEZwebサイトで、Webアプリケーションの脆弱性が原因の情報漏洩事故が起きたようだ。 顧客情報漏えい：書籍販売サイト「ａｕ Ｂｏｏｋｓ」で, 毎日新聞, 2007年6月26日 ゲーム攻略本（１冊１８９０円）の紹介サイトからアクセスし、その攻略本を買おうとすると、他の顧客の氏名、住所、電話番号、生年月日、会員パスワードが表示された。そのまま購入手続きをとると、他の顧客が購入したことになってしまうという。 au携帯電話におけるオンライン書籍販売サイト「au Books」におけるお客様情報の誤表示について, KDDI, 2007年6月26日 1. 発生事象 本年6月22日20時37分から23日18時45分までの間

[yaotti]

session fixation/セッション固定攻撃への対策

[kaito834]

「サブスクライバーIDは、ユーザに固定の固有IDであり、どのサイトにも同じ値が送信されるものであるため、国民総背番号制に対して示される懸念と同様のプライバシー上の問題がある。」

[MinazukiBakera]

session adoptionについて。「session.use_only_cookies をオンに設定する」

[webmarksjp]

websecurity

[NOV1975]

docomoがcookieをサポートしないのはWebサイトの仕掛けが縛られる面でも不利益が多いんだよなあ。端末IDは便利なんだけどなあ。そういう問題はあるよなあ。コンテンツ業者が倒産し出したら事件が増えるかもなあ。

[p-4]

偽装の方法でも出てきたのかと思ったら違った。個人的には正反対の意見で課金コンテンツがらみもあるし、一意性の高い識別・認証を考えてこなかったPC向けだけというのはこの先雲行き怪しい気がする。参考例：mixi新規

[bk246]

サブスクライバーIDをパスワード代わりに使うべきでない理由

[hirose31]

Session Fixation Session Adoption

[yorihito_tanaka]

一開発者には如何ともしがたい問題で