しゃおの雑記帳 - 携帯サイトセキュリティTODOリスト

前回のエントリ “携帯サイト開発者のためのセキュリティ再入門” が割と広範囲にお読みいただけているようです。ありがとうございます。ただあの記事は単に列挙しただけなので「何をまずやればいいのか」具体的なものが見えてこない気がしますのでメモとして再構成してみました。前回書いたように「契約者IDによるかんたんログイン機能を撤廃しよう」がすぐにできるのであればいいですが、なかなかできないのが現実でしょうから、「緊急度の高い対策」から順に扱っていこうと思います。 契約者ID(UID)で認証しているサイトはすぐにやろう キャリアのIP帯、User Agent、UIDのペアを確実に検証するようにする 例えばドコモのIP帯 + ドコモのUser Agent + X-DCMGUID でのみ認証できるようにします。 もし [携帯電話のIP帯 (各キャリアのリストをマージしたもの) + ドコモの User Ag

[efcl]

認証やキャリアシステムについて

[yuchi]

複数パターンでのアクセス制限、必須に。

[gayou]

セキュリティ

[ockeghem]

だいたいよいと思うのですが、実はこれでもだめな場合があるので、かんたんログインはやめましょう。賞味期限が切れました