docomo IDのOpenID対応の危険性 « mpw.jp管理人のBlog
docomo IDをOpenID対応にすることによって、PC向けサイトでiモードIDの取得が可能になり、PC向けサイトとiモード向けサイトの連動が非常に容易になりました。 しかし、OpenIDでの認証シーケンスのサイト遷移が一般ユーザに周知徹底されていない現状と、他人のdocomo IDの利用（悪用）価値の高さを考えると、docomo ID（とパスワード）の詐取を目的としたフィッシングサイトが激増し、そしてその被害も激増するものと予想しています。 またmpw.jpで、docomo IDのOpenID対応化のドコモ実装を調査したところ、非常にマズイ箇所があり、ITリテラシが高いユーザにもほぼ気づかれることがない完成度の高いフィッシングサイトの出現の可能性が高いと考えています。 したがいまして、当面の間、「docomo IDでログイン」は使用されない方が賢明かと思います。 ・docomo ID
ドコモはiモードIDの生成方法を見直すべきだ « mpw.jp管理人のBlog
昨年、「iモードID」の送出が開始されたことにより、「iモードID」のみでユーザ認証を行う携帯サイトが増えてきました。 そして、それら携帯サイトの中に、iモードIDハイジャック（悪意もった第三者による乗っ取り操作）の被害を受けると思われるサイトが、多数散見されます。 被害を受けるサイトの条件 ユーザ認証を「iモードID」のみで行っている。 FORMの入力内容をPOSTメソッドで送信しているものの、受け取り側でリクエストメソッドのチェックを行っていない。もしくは、GETメソッドで送信している。 iモードIDハイジャックの方法 以下のような形で登録処理を行っている攻撃対象サイト(targetdomain.com)を探す。 [http://targetdomain.com/form.php] <html> 会員登録開始<br> IDとパスワードとメアドを入力してください<br> <form me
iモード専用サイトのhtmlソースの閲覧方法 « mpw.jp管理人のBlog
iモードブラウザ2.0のJavaScriptを調査･研究する過程で、iモード専用サイトのhtmlソースを閲覧する方法を発見しました。 今回発見した方法を用いれば、「ドコモ・ゲートウェイ以外からのアクセスを禁止している」、「サーチエンジンのクロールを禁止している」、「XSS脆弱性が存在しない」の三つの条件を満たしているiモード専用サイトでも、htmlソースを閲覧することができます。 しかし、htmlソースを閲覧するためには、そのiモード専用サイトが別の二つの条件を満たしている必要があります。 htmlソースが閲覧可能なiモード専用サイトの条件 デフォルトホストで運用されている。（ヴァーチャルホストではない） iモードブラウザ2.0のJavaScriptからのアクセスを禁止していない。 iモード専用サイトのhtmlソースの閲覧方法 iモードブラウザ2.0のJavaScriptで、htmlソース
ソフトバンクの「ケータイWi-Fi」経由のアクセス « mpw.jp管理人のBlog
mpw.jpに、ソフトバンクの「ケータイ無線LAN」「ケータイWi-Fi」経由と推測されるアクセスがありました。 ↓「ケータイWi-Fi」経由↓ 通信速度統計940SH_WLAN(SoftBank) 「ケータイWi-Fi」経由でアクセスした場合、HTTPリクエストの「X-S-Bearer」ヘッダの値が、「WLAN」となるようです。(X-S-Bearer: WLAN) ヘッダ値がドコモの無線LAN経由と同じ「WLAN」であり、ヘッダ名も似ていますので、もしソフトバンクでもフェムトセル経由アクセスのサービスが開始された場合には、「X-S-Bearer: FMT」というヘッダが付与されるものと予想しています。 This entry was posted on 木曜日, 11月 5th, 2009 at 01:13 and is filed under スピードテスト, ソフトバンク. You c
iモードブラウザ2.0のJavaScript « mpw.jp管理人のBlog
先日のソフトウェアアップデートで、iモードブラウザ2.0のJavaScriptが再び有効化されました。そして、mpw.jpでもiモードブラウザ2.0のJavaScriptに関して調査・検討を始めました。 まだその途上ではありますが、これまでに気づいたことを記述したいと思います。 XMLHttpRequestオブジェクトのsetRequestHeaderメソッドの無効化 X-DCMGUID、Host、User-Agent、Referrerなど、偽装されるとiモードのチープなセキュリティモデルを根幹から崩してしまうものだけを無効化するのではなく、setRequestHeaderメソッド自体が無効化され、JavaScriptからは全くヘッダを付加＆変更することが出来ないように変更されているようです。 alertメソッドの無効化 alertメソッドが無効化されていました。 alertメソッドがXS
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
