携帯業界の認証事情 Part2 - y-kawazの日記
先日の日記で携帯の認証に関しての考察をして、とりあえずキャリア毎のIP制限を行っていれば端末IDやユーザID認証を信用していいのでは無いか？と書いたのだが、更に調べた結果どうも怪しい実態が見えてきたので危険度と合わせて再度纏めてみようと思う。 とりあえず指摘があったので前回のテストに加えて以下を試してみました。 NO uidに指定した値 実際に送信されてくる値 8 %30%31%32%33%34%35%36%37%38%39%61%62*1 1234567890ab うわ弱っ、駄目じゃん。見事にuidの詐称が成功してしまった…。 DoCoMoのユーザIDの信頼性が地に落ちた瞬間です。 2007-03-01追記）DoCoMoスゲー！昨日は確かに上記の方法で詐称できたのに、今日はもう既に対策されとるし(^^; 今、同じことを試すと以下のメッセージが出るのみでした。 IPサイトの記述に誤りがある
まちがった自動ログイン処理
(Last Updated On: 2018年8月20日)問題：まちがった自動ログイン処理の解答です。このブログエントリは最近作られたアプリケーションでは「問題」にしたような実装は行われていないはず、と期待していたのですがあっさり期待を破られたのでブログに書きました。このブログの方が詳しく書いていますけが「Webアプリセキュリティ対策入門」にも正しい自動ログイン処理を書いています。 参考：自動ログイン以外に2要素認証も重要です。「今すぐできる、Webサイトへの2要素認証導入」こちらもどうぞ。HMACを利用した安全なAPIキーの送受信も参考にどうぞ。 間違った自動ログイン処理の問題点 まず間違った自動ログイン処理を実装しているコードの基本的な問題点を一つ一つ順番にリストアップします。 クッキーにランダム文字列以外の値を設定している クッキーにユーザ名が保存されている クッキーにパスワードが保
窓の杜 - 【NEWS】指紋認証でWebサイトにログイン可能にするFirefox拡張「Fingerfox」
マイクロソフト（株）製の指紋リーダー“Microsoft Fingerprint Reader”を利用し、指紋認証でWebサイトにログインできる「Firefox」用拡張機能「Fingerfox」v0.6が公開された。「Firefox」上で動作するフリーソフトで、編集部にてWindows XP上の「Firefox 日本語版」v1.5.0.3上で動作確認した。現在、作者のホームページからダウンロードできる。 “Microsoft Fingerprint Reader”には、ID・パスワード入力の代わりに指紋認証で会員制のWebサイトなどにログインする機能があるが、この機能は通常、IE上でのみ利用可能。そこで「Fingerfox」を使用すると、「Firefox」でも指紋認証によるログインが可能になる。 本拡張機能のインストール後は、「Firefox」のステータスバーに“Fingerfox”という
Kazuho@Cybozu Labs: はてな認証 API への攻撃シナリオ
« 秘密鍵を後置している MAC の危険性 | メイン | Re: 攻撃してください→はてな認証の仮想セッション » 2006年05月09日 はてな認証 API への攻撃シナリオ 少し方向を変えて、 cert の漏洩に関する話です。 はてな認証 API における cert の使用法においては、 条件A) cert が第三者に漏洩しない 条件B) cert を最初に使うのがサードパーティアプリケーションである のいずれかが満たされれば良いです。 しかし、実際のところ cert が漏洩した場合に条件 B を破る (攻撃者の ?cert=... リクエストが、正規ユーザーのリクエストよりも先に処理されるようにする) ような攻撃を構築することは可能なので cert が漏洩する＝セッションハイジャックが可能注3になる、と考えなければなりません。 じゃあ、どういう場合に、cert が漏れるか、というこ
認証サイトの設計と対応ソフトの実際
最後に、送信ドメイン認証を実現するサイト構成やツールの使用方法について、詳しく説明する。 サイトデザイン 本稿では、企業サイトでの構成を考えてみた。図15に送信者認証を導入したサイト構成の例を示す。このサイトでは、次のような要件を考える。 ・受信メールに対してサイトの最も外側で送信者認証を実施する ・Sender IDとDomainKeysの両方を送受信ともに実施する ・送信ドメイン認証の結果をヘッダに記録して受信者が参照できるようにする ・送受信するメールにはすべてウイルス対策を実施する ・モバイルユーザーには587番でのメール送信手段を提供する 利用するソフトウェア ここでは例として、ゲートウェイのMTAにオープンソースのsendmail MTAを取り上げる。Sender IDを実装している「sid-milter」と、DomainKeysを実装している「dk-milter」を利用するた
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.machu.jp/posts/20060507/p01/
