セキュリティ情報 - Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題

文書番号HASHC2010052401 Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題 HASHコンサルティング株式会社 公開日:2010年5月24日 概要 昨年11月24日づけアドバイザリにて、iモードブラウザ2.0のJavaScriptにより、携帯端末に割り当てられたID（以下、端末固有ID）を利用した認証機能（以下、かんたんログイン）に対する不正アクセスが可能となる場合があることを報告した。その後の調査により、同種の問題がYahoo!ケータイのブラウザ(通信事業者はソフトバンクモバイル)でも発生することを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者およびYahoo!ケータイ利用者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザに用意された端末固有IDを利用した簡易的な認証であり、ユーザがIDやパスワード

[asakura-t]

NetFrontは修正しないのかな？// WILLCOMのNetFront端末でチェックしてNGだったので。Opera端末はどうなんだろう？

[setamise]

かんたんログイン関連。Softbank携帯の06年春モデル以降の機種でDNS Rebindingによるなりすましの脅威がある。

[mure]

『2009年11月24日に発見した事実』『発見者は即座にソフトバンク社に通知したが半年を経過してなお状況が改善されず注意喚起もされていないことからYahoo!ケータイ利用者の安全性確保を目的として公開』

[sakaitidai]

上記内容は2009年11月24日に発見した事実を基本としたものである。発見者は即座にソフトバンク社に通知したが、半年を経過してなお状況が改善されず、注意喚起もされていないことから、Yahoo!ケータイ利用者の安全性確保

[shin-jin]

要確認。他のキャリアも同じ問題をかかえているんじゃないか。

[kujoo]

むしろ、「かんたんログイン」を撲滅するための施策じゃまいか。

[hiro_y]

setRequestHeaderでHost書き換え→かんたんログインなりすまし可能に。

[shiranui]

おおお、実証実験に使われた携帯電話を持ってるんですけど

[tsupo]

危険度の高い攻撃手法であるので、サイト運営者およびYahoo!ケータイ利用者には至急の対策を推奨する

[muamqm]

これだけ問題があるかんたんログイン機能を今更実装するのはやめよう。/特に自分。

[mumincacao]

softbank もいつの間にか XMLHttpRequest 対応してたですか！？Σ（´ロ｀；【みかん

[alguien]

半年を経過してなお状況が改善されず、注意喚起もされていない

[mi1kman]

ソフトバンク側は調査中とも対応予定とも連絡がないのだろうか、そもそも向こうは情報を受け取ったという認識はあるのだろうか

[takunama]

"(引用者註: iモードブラウザ 2.0 と)同種の問題がYahoo!ケータイのブラウザ(通信事業者はソフトバンクモバイル)でも発生することを確認したので報告する"

[nilnil]

おお、HASH Consulting Security Advisory Report Numberとも言うべき文書番号が付いてる!

[MinazukiBakera]

@masason Yahoo!ケータイにセキュリティ上の問題があることが公表されました。基本的には端末メーカー側の問題のようですが、御社からも対応を働きかけていただけますでしょうか?

[ockeghem]

↑id:mi1kman ソフトバンクさんとのやりとりについては講演資料に記載しています