高木浩光＠自宅の日記 - はてなのかんたんログインがオッピロゲだった件

■ はてなのかんたんログインがオッピロゲだった件 かんたんログイン手法の脆弱性に対する責任は誰にあるのか, 徳丸浩の日記, 2010年2月12日 といった問題が指摘されているところだが、それ以前の話があるので書いておかねばならない。 昨年夏の話。 2009年8月初め、はてなブックマーク界隈では、ケータイサイトの「iモードID」などの契約者固有IDを用いた、いわゆる「かんたんログイン」機能の実装が危ういという話題で持ち切りだった。かんたんログイン実装のために必須の、IPアドレス制限*1を突破できてしまうのではないかという話だ。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフ

[ksd6700]

.

[yocchi24]

かんたんログインはあくまで簡易なもの。重要な情報の参照やデータの改変についてはキチンとパスワード等での再認証等を行うべき。

[gui1]

これがケータイWeb業界の実情なんですね。つか、これはまだましなほうなんじゃないかと。

[nilab]

高木浩光＠自宅の日記 - はてなのかんたんログインがオッピロゲだった件:契約者固有ID「私のEZ番号を知っている人なら、誰でも私の日記を改竄等できてしまう状態だった」「これがケータイWeb業界の実情なのか……と。」

[setamise]

DNS Rebinding + ドコモ携帯JS

[minakagami]

「はてなならやりかねない」さすが、ぼくらのはてな！

[blueribbon]

「これだけ明確にこの用途を公式に掲げたのだから、NTTドコモの責任で問題解決にあたるべきだろう。」

[hatemu54]

相変わらずセキュリティ関連に強いブログだ

[DocSeri]

記事内容とは無関係に、はてな他いくつかのグループを過度に敵視してるように見えるんだよねいつも。/で、どこならそういうことをせずに安心して使えるんですか?

[raitu]

//つまり、なんと、ポケットはてなは、はじめっからIPアドレス制限なんぞ、まったくしていなかったのだ。 //なので契約者固有IDさえ手に入れば、どこからでも余裕でログイン。しかも契約者固有IDは非常に収集が簡単、と

[atasinti]

駄

[oirano]

それでも はてななら…… はてななら やらかしてくれる……！！

[nacookan]

かんたんログインは、開発側がかんたんに作っちゃって、なりすましもかんたん。まさにかんたんログイン。

[namisk]

「はてなならやりかねない」

[tanakaBox]

おっぴろげ

[nqa04616]

誰でもかんたんログインやｗ

[fmht7]

「はてなならやりかねない」と、そう思った」さすが。元気そうだなー。

[rdfrk]

驚愕・・・脆弱性が解消してから公開するのが良心ある高木先生。 Reading: 高木浩光＠自宅の日記 - はてなのかんたんログインがオッピロゲだった件

[softboild]

オッピロゲ脆弱性。

[operator]

もうモバイルサイトはインターネット使わずに、携帯電話会社の内部ネットに直結したほうがいい。

[RELHAM]

はてなは当面モバイルから使ってはいけない件

[tsupo]

「はてなならやりかねない」 / ポケットはてなは、はじめっからIPアドレス制限なんぞ、まったくしていなかった / 他に4か所のサイトで同様の事例が見つかった

[kunioya]

このブコメにクラッカーが混ざっているような気がするのは気のせいだよね

[ardarim]

ドコモの方式自体脆弱性ありとして排除できないものなんだろうか…

[worthlesswaste]

オッピロゲの人は隠したい箇所(顔)のセキュリティは守っていたのだから、脆弱性の例えとしては少し違うと思った。オッピロゲの部分はハニーポットじゃないの？

[mame-tanuki]

修正済とは言え、やはり他社のサービスの事を言っている場合ではなかった、はてな（b:id:entry:19364455）。思いがけない欠陥がパブリックに？はてなで気をつけるポイント▼「はてなならやりかねない」は歴史に残る名言ｗ

[stealthinu]

携帯の契約者固有IDがわかればだれでもなりすましログイン出来てしまう携帯向けサイトが沢山ある問題。解決法はちゃんとIPでも制限する必要がある。自分も穴実装やってしまいそうだから気をつけよう。

[orangevtr]

現実的な解としては、各キャリアがHTTPSでIPアドレスをAPI形式で公開して強く推奨するというところかなと思った。ここまで来たら固有IDもう使うなというのは出きないだろうし。DNSリバ…はどうしようか…

[konaze]

携帯における会員登録に二の足を踏んでいる理由がこの辺のわからなさなんだよな…スタンダードって無いのかしら

[Layzie]

" はてなならやりかねない"→今年の流行語大賞ノミネート(お | 携帯はPCよりもセキュリティ大事なのに、あまりそれが徹底されてないんですかね。