なぜiOSでUDIDが必要とされていたのか、メモ - snippets from shinichitomita’s journal
iOSやその開発事情に詳しいと言える状態にはないので、調査を兼ねて書く。 Apple Sneaks A Big Change Into iOS 5: Phasing Out Developer Access To The UDID – TechCrunch http://wirelesswire.jp/Watching_World/201108221335.html 上記の「iOSでUDIDの利用が禁止」というニュースを聞いた時、正直TL上にこんなにいっぱい反応が貼り出されるとは思っていなかった。さすがにUDIDをいじるのはまずいよね、っていうコンセンサスは開発者の間では常識的部類に入ってくるのだろうと楽観的に捉えていたのかもしれない。 以下、なぜUDIDがそのようにスマートフォン開発者に利用されてきたのかについて、調べた限りでまとめてみた。 アプリケーションのサーバとのセッション保持 い
Firefox、ログインの常識を変える「BrowserID」を発表 | エンタープライズ | マイコミジャーナル
Firefox web browser - Faster, more secure & customizable Webサイトへのログインに新しい流行を作るかもしれない興味深い技術がMozillaから発表された。Mozillaの見込みがうまくいけば、数年後にはこの方式でどのWebサイトにもログインできるようになる可能性がある。発表された技術は「BrowserID」と呼ばれている。 Webサイトにおけるログインというのは、利用するユーザにとっても、開発するエンジニアにとっても面倒なものだ。ユーザはサイトごとに異なるIDとパスワードを入力しなければならないし、開発側はログインシステムをプライバシーの保護にも考慮しながら開発する必要がある。 「BrowserID」はこの双方の問題を解決する。開発側は数行のコードをページに挟みこむだけでログイン処理が実装でき、ユーザはどのサイトでもまったく同じUI
携帯サイト特有の問題も解説、「安全なウェブサイトの作り方」第5版 － ＠IT
2011/04/06 情報処理推進機構（IPA）は4月6日、Webサイトの開発者や運営者に向け、セキュリティを考慮したWebサイトを作成するための注意点をまとめた資料「安全なウェブサイトの作り方」の改訂第5版を公開した。IPAのWebサイトからダウンロードできる。 「安全なウェブサイトの作り方」は、Webサイトに起因するセキュリティ問題を解決することを目的とした文書で、2006年1月に第1版が公表された。Webサイト／Webアプリケーションの脆弱性の解決策のほか、フィッシング詐欺を助長しないための対策をはじめとするサイト全体の安全性を向上するための取り組み、さらに、ソースコードも含めた実際の失敗例などを紹介している。 過去の版では、クロスサイトスクリプティングやSQLインジェクション、OSインジェクションといった代表的な脆弱性を取り上げ、根本的な解決策や影響低減策についてまとめてきた。第5
間違いだらけの「かんたんログイン」実装法
今回は、そのかんたんログインの問題点について説明します。 「契約者固有ID」を用いるかんたんログイン かんたんログインとは、携帯電話の「契約者固有ID」を用いたログイン手法です。 第1回で説明したように、携帯電話のブラウザのリクエストヘッダには契約者固有IDと呼ばれるIDを付けることができます。契約者固有IDは、携帯電話事業者によって詳細は異なりますが、すべての携帯電話事業者が対応しています。 図1は、NTTドコモの携帯電話がサポートしている契約者固有IDである「iモードID」がサーバに送信される様子です。この情報は、ユーザーがそれと意識することなく送信されます。携帯電話のかんたんログインとは、契約者固有IDのみを用いて認証を行い、ログイン機能を実現することです。 かんたんログインは、ベーシック認証のようにIDとパスワードを管理する必要もなく、Cookieのように対応する端末を考慮する手間
高木浩光＠自宅の日記 - 今こそケータイID問題の解決に向けて
■ 今こそケータイID問題の解決に向けて 目次 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 Web開発技術者向けの講演でお話ししたこと 研究者向けの講演、消費者団体向けの講演でお話ししたこと 総務省がパブリックコメント募集中 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 6月初めのこと、ソフトバンクモバイルが「電波チェッカー」というiPhoneアプリを直々に開発して、iTunesストアで配布を始めたというニュースがあったのだが、それを伝えるITmediaの記事で、「取得された電波状況情報はiPhoneのUDIDとともにソフトバンクモバイルに報告される」と書かれているのが気になった。*1 「電波チェッカー」で検索して世間の反応を探ったところ、ソフトバンクモバイル社のCTO（最高技術責任者）の方が、Twitterで直々に市民と対話な
WASForum Conference 2010: どうするケータイ認証 | 水無月ばけらのえび日記
公開: 2010年5月31日0時45分頃 WASForum Conference 2010、ソフトバンクの脆弱性の話に続き、産総研の高木浩光さんによる「どうするケータイ認証」。 ケータイWebの世界従来、WASForumではあまり扱ってこなかった分野。その理由は…… 独自方式、仕様が明確でないNDAの壁 (特に公式サイト)契約で縛った独自世界なら、キャリアが責任を持つべき。部外者は何かを言うべき立場にないしかし、昨今では…… ケータイ独自方式が一般サイトにまで侵出2008.3 iモードIDがスタートスマートフォン対応の活発化 ログイン認証の欠陥ID (契約者固有ID) による認証を JavaScript + DNS Rebinding で突破される問題海外ではあまり問題にならないDNS Rebindingという手法は古くから知られていたのだが、そんな認証は日本でしか使われていないため、海外
WASForum Conference 2010: ケータイ2.0が開けてしまったパンドラの箱 | 水無月ばけらのえび日記
公開: 2010年5月30日16時40分頃 WASForum Conference 2010。OpenIDのお話の後は、昼休みを挟んで午後のセッションです。午後の一発目は、HASHコンサルティングの徳丸浩さんによる「ケータイ2.0が開けてしまったパンドラの箱」。実はこのセッション、事前に「未公表のネタ2件を発表する (twitter.com)」と宣言されていました。未公表の脆弱性が複数公開されるのではないか……と、期待と不安が高まります。 各サービスのかんたんログイン機能はてな …… 「かんたんログイン」ありライブドア …… 「クイックログイン」ありmixi …… 「かんたんログイン」ありブラウザ三国志 …… なんと、「かんたんログイン」のみ。むしろ潔い?Twitter …… かんたんログインあり。このサービスは、端末が3台あれば3台ともかんたんログインできるように頑張っている。Remem
セキュリティ情報 - Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題
文書番号HASHC2010052401 Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題 HASHコンサルティング株式会社 公開日:2010年5月24日 概要 昨年11月24日づけアドバイザリにて、iモードブラウザ2.0のJavaScriptにより、携帯端末に割り当てられたID（以下、端末固有ID）を利用した認証機能（以下、かんたんログイン）に対する不正アクセスが可能となる場合があることを報告した。その後の調査により、同種の問題がYahoo!ケータイのブラウザ(通信事業者はソフトバンクモバイル)でも発生することを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者およびYahoo!ケータイ利用者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザに用意された端末固有IDを利用した簡易的な認証であり、ユーザがIDやパスワード
高木浩光＠自宅の日記 - クッキー食えないのはドコモだけ
■ クッキー食えないのはドコモだけ ろくに安全な作り方も確立していないくせになぜかやたら蔓延ってしまった「簡単ログイン」。そもそもUI設計からしておかしい。ボタンを押せば入れるなら、ボタンがある意味がない*1。ログアウト不可能な常時ログインサイトだ。（それなのに「ログアウト」ボタンがあったりする。） 「そんなこと言ったって便利だから必要なんだ」とか、「ケータイでパスワードなんか入れてられない」だとか、「お客さんが付けてくれって言ったら俺たちIT土方には何も助言なんてできないんだ」とか言う人が出てくるわけだが、そんなのは、一般のインターネットのサイトだって、昔から「□ 次回から自動的にログイン 」とか「□ 次回から入力を省略」といったチェックボックスが普通に用意されている。amazon.comなんか大昔からログインしっぱなしだ。 そしてそれはcookieによって実現されてきた。個人識別番号な
高木浩光＠自宅の日記 - 先週からEZ番号の変更が不可能にされていた, 追記
■ 先週からEZ番号の変更が不可能にされていた KDDI社員の方からタレコミがあった。 従来、EZ番号は、EZオプションを廃止して再加入すると新たな番号が付与されるようになっていたのだが、5月10日から、同じ個人には同じEZ番号を継続して付与するよう、システム変更があったという。その意図は、「EZ番号変更による問題行為の防止」だという。電話番号を変更してもEZ番号は変わらないようになったという。 エンドユーザのプライバシーにかかわる仕様変更であるにもかかわらず、プレスリリース等を出さずこっそり変更していることから、私から注意喚起をしてほしいとのことだった。 この情報は、とくに隠されているものではなく、聞かれたら答えられるよう各種窓口に周知されているものだそうで、以下のチラシが店頭掲示用として配布されているようだ。 KDDIのこの措置が誰の要求に応じたものなのかは知らない。 ２ちゃんねるを調
【携帯規制】auが2ch運営の圧力に負け、EZ番号の変更が不可能に
1 ： イタチザメ(愛知県)：2010/05/17(月) 22:15:43.73 ID:dxd3uFKe● ?BRZ(10001) 従来、EZ番号は、EZオプションを廃止して再加入すると新たな番号が付与されるように なっていたのだが、5月10日から、同じ個人には同じEZ番号を継続して付与するよう、 システム変更があったという。その意図は、「EZ番号変更による問題行為の防止」だという。 電話番号を変更してもEZ番号は変わらないようになったという。 (中略) こんな調子で、ISP丸ごと規制（丸焼き）をチラつかせて、IPアドレスの固定化を各ISPに 要求していったら、日本のインターネットはいよいよ終了する。 http://takagi-hiromitsu.jp/diary/20100516.html http://takagi-hiromitsu.jp/diary/fig/20100516/1.
NTTグループのログインと決済を1つのIDで--「NTT IDログインサービス」提供
NTTコミュニケーションズ（NTT Com）とNTTドコモ、NTTレゾナント、日本電信電話（NTT）の4社は5月13日、1つのIDで複数のウェブサイトにログインできるシングルサインオン「NTT IDログインサービス」を発表した。5月14日に提供開始する。 NTT IDログインサービスは、NTT Comの「OCN ID」やNTTドコモの「docomo ID」、NTTレゾナントの「gooID」を使って、NTTグループやパートナー企業のウェブサイトにログインできるOpen IDに準拠したサービス。サービス開始当初は、NTTレゾナントのポータルサイト「goo」にのみ対応しており、OCN IDとdocomo IDを使ってそれぞれログインできる。 また、NTT IDログインサービスを活用した決済サービス「NTTネット決済」を2010年度第2四半期中に提供する。ユーザーはECサイトごとにクレジットカード
WASForum Conference 2010 登録完了 | 水無月ばけらのえび日記
公開: 2010年5月12日11時55分頃 WASForum Conference 2010 (wasforum.jp)ですが、プログラム (wasforum.jp)を見ると「ケータイ2.0が開けてしまったパンドラの箱」「どうするケータイ認証」というテーマが挙げられています。タイトルからして危険な雰囲気が漂っていて、ケータイサイトを実装することもある身としては聞いておいた方が良さそうですね。 このプログラムが発表になったのが4月30日。前回は会社のお金で行かせていただいたので、今年も……と思ったのですが、「5月6日までに振り込むと安くなる」というアナウンスが。「連休中に稟議を通すのは無理 (twitter.com)」とつぶやいたら、なんと「5/7まで (twitter.com)」としていただけました (ありがとうございます)。お言葉に甘えて昨日稟議を通し、本日振り込みました。 というわけで
高木浩光＠自宅の日記 - 10年前にもあった「IDで認証できる幻想」
■ 10年前にもあった「IDで認証できる幻想」 今の若い人たちは知らないかもしれないが、21世紀が訪れたばかりの2001年8月、こんなことがあった。 JPNICがメールマガジン発行, スラッシュドット・ジャパン, 2001年8月28日 JPNICがメールマガジンの発行を始めたところ、なぜか「郵便番号住所氏名電話番号までも記入させる欄がある」というニュースだったのだが、実際にそれを登録してみて、「登録情報更新」の画面へ行ってみたところ、以下のようになっていて、腰が抜けそうになったのだった。
Railsで携帯サイトを作るには – Ruby on Rails携帯サイト開発技法 - stnard.jp
Ruby on Rails携帯サイト開発技法 著者／訳者：伊藤 祐策 富田 陽介 三上 喜之 出版社：ソフトバンククリエイティブ( 2010-04-30 ) 大型本：312 ページ @yoshukiさんに献本していただきました。ありがとうございます。と言うわけで、書評を。 またもや端末識別番号問題 まず最初に残念な点を。最後の章でjpmobileを使わないで自前で機能を実装しているのですが、セッション管理に端末識別番号を利用してしまっています。これは高木さんがよく言われている由々しき問題で、エンジニアとしてはやってはいけないことのはずです。 ここまで破綻しているケータイID認証（簡単ログイン） on 高木浩光＠自宅の日記 せっかくその前の章でSession Fixationの話がでたのに、最後にそれを台無しにしてしまう内容は、少し残念でした。Railsで携帯サイト開発の初の本なのでよけ
高木浩光＠自宅の日記 - EMOBILEのX-EM-UID、はじめから破綻, 追記
■ EMOBILEのX-EM-UID、はじめから破綻 昨日の「SSL接続で得たX-JPhone-UIDを認証に使ってはいけない」から導かれる当然の帰結であるが、EMOBILEの X-EM-UID: についても同様に、SSL接続で得たものを認証に使ってはいけない。 「IDがSSLで使えない」ではなく「SSLで得たIDを使ってはならない」である点に注意。つまり、http:// のページしか提供していないつもりでも、実はWebサーバが https:// でもアクセスできるようになっていて、同じWebアプリケーションプログラムにリクエストが渡るようになっていたりすると、https:// 経由でなりすましログインされてしまうということ。 EMOBILEの「EMnet」はProxyサーバ wm.internal.emnet.ne.jp:8080 によって提供されており、これをProxyとしてSSL接続
Utilz: 携帯識別
User-Agent ユーザーが「携帯電話製造番号通知」確認画面でYESを選択すると、User-Agentに "ser***********" 形式で製造番号が付加されます。 DoCoMo/1.0/P503i/c10/ser*********** FOMA端末製造番号(DoCoMo FOMA) 携帯端末の製造番号です。同一ユーザーでも端末買い増しをしているユーザーがUIMカードを別端末に入れ替えることで異なる値になります。Movaと同様に毎回確認画面が表示されます。 取得方法 Movaと同じです。XHTMLの場合は以下のようにします。 User-Agent User-Agentに "serXXXXXXXXXXXXXXX" 形式で製造番号が付加されます。同時にFOMAカード製造番号も付加されます。 DoCoMo/2.0 P902i(c100;TB;W24H12;serXXXXXXXXXXX
高木浩光＠自宅の日記 - まだまだ他でも破綻しているケータイID認証
■ まだまだ他でも破綻しているケータイID認証 前回の補足。以下は、私が気づいたことではなく、2009年夏に「かんたんログインが危うい」との話題で持ち切りだったときに、既に公に語られていたことである。 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 特にUserAgentからIMEI番号を正規表現などで抜き取ってそれだけを利用している場合は、この方法を使えば偽装可能。uidの方を使うようにした方がいいかも。 モバイル用GWのIPアドレスを気にしてた時代もあったなぁ, コメント欄#1, 匿名の臆病者, 2009年8月6日 透過プロクシという仕組みはご存じない? あ、ということは少なくともhttpsにx-jphone-uidが乗っていたら擬装の虞か。(端末はuidを吐かないので) しかし、携帯電話会社がこの
高木浩光＠自宅の日記 - ここまで破綻しているケータイID認証（簡単ログイン）
■ ここまで破綻しているケータイID認証（簡単ログイン） 2009年夏、はてなブックマーク界隈では「かんたんログイン」が危ういという話題で持ち切りだった。IPアドレス制限をしていても突破できてしまうのではないかという話だった。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフトバンクの携帯用GatewayをPCで通る方法があるようです, ke-tai.org, 2009年8月4日 これは要するに次のような話だった。 まず、SoftBankの携帯電話で特定のAPN mailwebservice.softbank.ne.jp でネット接続して、所定のProxyサーバ sbwap
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ソフトバンク端末100機種以上にJavaScript関連の不具合