rryuのブックマーク - はてなブックマーク

http://www.hash-c.co.jp/archive/wasf2010.html
rryu 2010/05/24
徳丸さんの講演資料が公開されました。
リンク
セキュリティ情報 - iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性
iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性 HASHコンサルティング株式会社公開日:2009年11月24日概要 iモードブラウザ2.0のJavaScriptとDNS Rebinding問題の組み合わせにより、iモードIDを利用した認証機能（以下かんたんログイン）に対する不正アクセスが可能となる場合があることを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者には至急の対策を推奨する。背景携帯電話のかんたんログインとは、ケータイブラウザ（たとえばiモードブラウザ）に用意された契約者固有IDを利用した簡易的な認証であり、ユーザがIDやパスワードを入力しなくても認証が可能となる。iモードIDは、NTTドコモの提供する契約者固有IDの一種で、URLにguid=ONというクエリストリングを含めることにより、端末固有の7桁のIDがWebサーバに送
rryu 2009/11/24
Webアプリ側でできる対策ってなんだろう。Hostヘッダーを見て自分のホスト名で無い場合に拒否するくらい?

セキュリティ
リンク
1

はてなブックマーク