KDDIの新GWで「かんたんログイン」なりすましの危険性あり直ちに対策された
au/KDDIの2011年秋冬モデル（現時点ではF001のみ）にてEZwebとPCサイトビューア（以下PCSV）のゲートウェイが統合されたことに伴い、かんたんログインを実装しているサイトに対して、F001のPCSVからJavaScriptを用いた「なりすまし」攻撃ができる状態でした。この問題をKDDIに通報したところ、直ちに対策が取られ、現在は安全な状態です。以下、詳しく報告します。 目次概要 経緯 何が問題か 経緯説明(1)基本的なチェックは対処済みだった 経緯説明(2)ハイフンをアンダースコアに変えるトリックは対策済み 経緯説明(3)海老原氏が発見したトリックとは 経緯説明(4)KDDIに連絡→翌日に対処 実証例 外部からJavaScriptを実行できる条件 影響を受けるサイトの条件 影響 対策 今回の問題は、端末あるいはau設備の脆弱性なのか まとめ 概要以前、「EZwebの2011
間違いだらけの「かんたんログイン」実装法
今回は、そのかんたんログインの問題点について説明します。 「契約者固有ID」を用いるかんたんログイン かんたんログインとは、携帯電話の「契約者固有ID」を用いたログイン手法です。 第1回で説明したように、携帯電話のブラウザのリクエストヘッダには契約者固有IDと呼ばれるIDを付けることができます。契約者固有IDは、携帯電話事業者によって詳細は異なりますが、すべての携帯電話事業者が対応しています。 図1は、NTTドコモの携帯電話がサポートしている契約者固有IDである「iモードID」がサーバに送信される様子です。この情報は、ユーザーがそれと意識することなく送信されます。携帯電話のかんたんログインとは、契約者固有IDのみを用いて認証を行い、ログイン機能を実現することです。 かんたんログインは、ベーシック認証のようにIDとパスワードを管理する必要もなく、Cookieのように対応する端末を考慮する手間
セキュリティ情報 - Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題
文書番号HASHC2010052401 Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題 HASHコンサルティング株式会社 公開日:2010年5月24日 概要 昨年11月24日づけアドバイザリにて、iモードブラウザ2.0のJavaScriptにより、携帯端末に割り当てられたID（以下、端末固有ID）を利用した認証機能（以下、かんたんログイン）に対する不正アクセスが可能となる場合があることを報告した。その後の調査により、同種の問題がYahoo!ケータイのブラウザ(通信事業者はソフトバンクモバイル)でも発生することを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者およびYahoo!ケータイ利用者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザに用意された端末固有IDを利用した簡易的な認証であり、ユーザがIDやパスワード
しゃおの雑記帳 - 携帯サイトセキュリティTODOリスト
前回のエントリ “携帯サイト開発者のためのセキュリティ再入門” が割と広範囲にお読みいただけているようです。ありがとうございます。ただあの記事は単に列挙しただけなので「何をまずやればいいのか」具体的なものが見えてこない気がしますのでメモとして再構成してみました。前回書いたように「契約者IDによるかんたんログイン機能を撤廃しよう」がすぐにできるのであればいいですが、なかなかできないのが現実でしょうから、「緊急度の高い対策」から順に扱っていこうと思います。 契約者ID(UID)で認証しているサイトはすぐにやろう キャリアのIP帯、User Agent、UIDのペアを確実に検証するようにする 例えばドコモのIP帯 + ドコモのUser Agent + X-DCMGUID でのみ認証できるようにします。 もし [携帯電話のIP帯 (各キャリアのリストをマージしたもの) + ドコモの User Ag
しゃおの雑記帳 - 携帯サイト開発者のためのセキュリティ再入門
通勤電車で周囲を見渡せば大抵数台のスマートフォンを見つけられるようなご時世ですが、現実は日本の伝統的な携帯電話が多数派です。今もそんなガラケー向けWebサイトの開発案件は衰えることありません。 そんなガラケーサイトの開発者の間で話題になっている「セキュリティ対策」について、ガラケー界の現状をふまえた上でまとめてみます。 携帯電話のIPからのアクセスであることを前提としたセキュリティ対策はすでに無駄 ソフトバンク3Gのプロクシ情報は検索すればすぐに出てきます イー・モバイルのEMnetに至っては公開情報です サイトのソースもFlashのswfも画像もPCから丸見えだと思うべきです 危険な「かんたんログイン」 かんたんログインで使う契約者IDはあなたのサイトにも他のサイトにも同じものが送出されてます 悪意をもった人が他人の契約者IDをヘッダに乗せてかんたんログインのアクションを呼び出したらどう
『携帯電話の「簡単ログイン」は個体識別番号を使ってこんなふうに作れます』
たいていのWEBアプリはユーザ名とパスワードを聞かれて認証を行います。これはちょうど家に鍵をかけるようなもの。それほど重要でない情報のみのサイトならこれで十分ですが、貴重な情報があるとなるとそうはいきません。 この物騒な世の中、鍵ひとつじゃ安心できないわという声も聞こえてきます。最近セキュリティの高いところでは、やれ指紋やら静脈やら虹彩やらで個人を識別して鍵が開くようになってきていますね。WEBアプリにもユーザ名とパスワードの鍵以外に、端末の識別番号を使って認証する方法があります。 さて今日は携帯電話に焦点を当てて、ユーザ名とパスワード＋自分の携帯からしかアクセスできないというように変える方法をご紹介。 携帯端末には一台一台に電話番号とは別の個体識別番号があります。この番号を、ユーザがサイトにアクセスしてきたときにプログラムで取得することができます。個体識別番号をサーバ側に保存しておき、認
携帯電話の「簡単ログイン」個体識別番号 | i yahoo i.com:blog
携帯サイトの作成が毎回うまくいかない。 チェックがめんどくさいからまったく覚えられない。 ログイン周りも固体識別でできっるってことは知っていてもどうやってやるか分からなかったからとても参考になりました。 携帯サイトはほんとに作ってみたいから今度これを参考にやってみよう。 http://ameblo.jp/yosswi/entry-10036647527.html http://tachibana.blog.ocn.ne.jp/blog/2006/05/ez_7a39.html 個体識別情報、EZ番号、端末シリアル番号の取得方法 携帯電話には、個々の端末を識別するための情報が付与されており、携帯電話対応WEBアプリケーションの認証などに、この情報を用いることがある。各キャリアで呼び方や取得方法が異なっているが、いずれもHTTPヘッダから取得することが可能である。（但し、ユーザーがこの情報
高木浩光＠自宅の日記 - まだまだ他でも破綻しているケータイID認証
■ まだまだ他でも破綻しているケータイID認証 前回の補足。以下は、私が気づいたことではなく、2009年夏に「かんたんログインが危うい」との話題で持ち切りだったときに、既に公に語られていたことである。 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 特にUserAgentからIMEI番号を正規表現などで抜き取ってそれだけを利用している場合は、この方法を使えば偽装可能。uidの方を使うようにした方がいいかも。 モバイル用GWのIPアドレスを気にしてた時代もあったなぁ, コメント欄#1, 匿名の臆病者, 2009年8月6日 透過プロクシという仕組みはご存じない? あ、ということは少なくともhttpsにx-jphone-uidが乗っていたら擬装の虞か。(端末はuidを吐かないので) しかし、携帯電話会社がこの
高木浩光＠自宅の日記 - ここまで破綻しているケータイID認証（簡単ログイン）
■ ここまで破綻しているケータイID認証（簡単ログイン） 2009年夏、はてなブックマーク界隈では「かんたんログイン」が危ういという話題で持ち切りだった。IPアドレス制限をしていても突破できてしまうのではないかという話だった。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフトバンクの携帯用GatewayをPCで通る方法があるようです, ke-tai.org, 2009年8月4日 これは要するに次のような話だった。 まず、SoftBankの携帯電話で特定のAPN mailwebservice.softbank.ne.jp でネット接続して、所定のProxyサーバ sbwap
高木浩光＠自宅の日記 - サイボウズOfficeも匙を投げた「簡単ログイン」
■ サイボウズOfficeも匙を投げた「簡単ログイン」 今年2月20日のこと、サイボウズOfficeに「簡単ログイン」機能があることに気づいた私は、以下の質問をサイボウズ社に送った。 「サイボウズ Office 8 ケータイ」の「簡単ログイン」機能についてお尋ねします。 「携帯端末認証に対応しているので、毎回ログインする手間なく利用できます」とのこと。試用版で試したところ、たしかに2度目以降はパスワードが不要のようです。 この機能は、いわゆる「契約者固有ID」を用いて実現しているものと理解していますが、「契約者固有ID」を用いて端末認証を行う場合、通常は、IPアドレス制限を行って、携帯電話事業者のゲートウェイのIPアドレスからのアクセスしか許さないように実装するものであると考えます。 しかしながら、「サイボウズ Office 8 ケータイ」はそうしたIPアドレス制限を施しておらず、一般のイ
サイボウズ製品の脆弱性について > 「簡単ログイン」機能の脆弱性【CY10-04-001】
携帯電話の契約者固有 IDを知り得る立場で、ケータイログインページのURLがわかっている場合、簡単ログイン機能を利用し、外部のパソコンなどから、アクセスされる可能性があります。 サイボウズ Office 7 ケータイ 以下のいずれかの対応を行っていただきますよう、お願いいたします。 ■IPアドレス制限を行う ・「サイボウズ リモートサービス」をご利用いただく場合 「サイボウズ リモートサービス」を経由する運用を行ってください。 「サイボウズ リモートサービス」では、「サイボウズ Office ケータイ」 にアクセスする際、携帯端末からのみアクセスできるように、アクセス元の IPアドレス制限を行っております。 サイボウズ リモートサービス ・ 自社の外部アクセス環境をご利用いただく場合 Web サーバーで、携帯電話からしかアクセスできないよう IPアドレス制限を行ってください。 Webサーバ
携帯電話の簡単ログイン機能の崩壊が始まっていた。 - モバイルウォッチャー
とりあえず、ケータイのWEBを作ってる技術者と、ケータイサイトを運用している人は必ず読んで理解しておいた方がいい（むしろ、しなくてはいけない）お話です。 高木先生のユニークIDがあれば認証ができるという幻想 http://takagi-hiromitsu.jp/diary/20100411.html#p01 ぶっちゃけ言うと、hatenaを始め、ろくに仕様も知らずに簡単ログインを実装しているサイトが多すぎる事が第一の問題。よく言われるケータイWEBの技術者の質の低さですね。 次にその機能を提供するキャリアがちゃんとした情報を提供せず、むしろ逃げるような発言を繰り返している事が上げられる。 更に、最近とうとう簡単ログインそのものの仕組み、つまり、個体識別番号と呼ばれているようなユーザーに対してユニークであるとされていた事、そのものが崩壊しているという事。既に様々な手法で個体識別番号の偽装が可
Buzzurlからのお知らせ: Buzzurlモバイル向け、「かんたんログイン」機能終了のお知らせ
記 下記日時を持ちまして、Buzzurlモバイルの「かんたんログイン」機能の提供を終了します。 通常のID/パスワードによるログインは引き続きご利用いただけます。 日時 2010年3月末日まで 概要 Buzzurの携帯電話向けBuzzurlモバイルにおきまして、携帯端末のいわゆる端末固有IDを用いた「かんたんログイン」機能を提供しておりました。 しかし昨今の携帯端末を取り巻く環境の変化により、Buzzurlでは「かんたんログイン」機能はその役割を終えたと考えております。つきましては2010年3月末日を持ちまして本機能の提供を終了いたします。 パソコン用Buzzurlと同様の、ID/パスワードによる通常ログインは2010年4月以降も引き続きご利用いただけます。 2010年4月以降はBuzzurlモバイルにログインするにあたり、パソコン用と同様にIDとパスワードを入力ください。お客様
タイトルなど単なる識別子・・・ - NTTドコモのセキュリティ意識って（ry
ちょっと時間が出来てWeb閲覧していたら気になったので，PCの前に戻って書くなのだ。 長文なので結論を先に書くのだ。 iモード（2.0端末）利用者は，かんたんログインに関する脆弱性の責任の所在をNTTドコモが明言するまで，（そして対策がなされるまで）JavaScriptの無効化をして利用するのを勧めるのだ。 ドコモ携帯、情報流出の恐れ…最新２９機種 YOMIURI ONLINE “ＮＴＴドコモでは、公式サイトを運営する約３０００社には注意喚起したが、それ以外の無数にある「勝手サイト」には「ジャバスクリプトの安全な利用はサイトを作る側にとって基本的知識であり、具体的に説明はしていない」という。” “高木浩光主任研究員は、「利用者ＩＤがあらゆる携帯サイトに自動で送られ、認証に使われる仕組みは問題だ」と指摘している。” そして，そのiモードIDを用いた「かんたんログイン」の脆弱性に対する責任の所
いちご on Twitter: "こわい！簡単ログインしたら妹の垢になった・・・な、んぞ・・・"
こわい！簡単ログインしたら妹の垢になった・・・な、んぞ・・・
ガラパゴスに支えられる携帯サイトのセキュリティ | 水無月ばけらのえび日記
公開: 2010年3月6日14時20分頃 モバツイ (www.movatwi.jp)作者のえふしんさんが、こんなつぶやきを。 携帯サイトは、閉じられた環境であることを前提として作られている場合があります。すなわち、以下のような前提です。 利用者が自由にHTTPリクエストをしたり、リクエストパラメータを改変することはできないこれはPCサイトでは全く通用しない話です。通常のインターネットからの接続では、telnetなどで好きなデータを送信できますので、通信内容はいくらでも改変できてしまいます。 PCサイトの場合は、それでも問題ありません。攻撃者はリクエストを改竄できますが、ターゲットになりすますためには、ターゲットの識別情報を入手する必要があります。PCサイトで標準的に使われる識別方法は、Cookieを発行することで端末(ブラウザ)を識別するという方法です。Cookieは発行したサイトにしか送
携帯サイトの「かんたんログイン」になりすましの問題
情報処理推進機構（IPA）とJPCERTコーディネーションセンターは3月5日、オープンソースのSNSソフト「OpenPNE」に脆弱性などの問題が見つかったとして情報を公開した。開発元のOpenPNEプロジェクトも同日付で対応策を発表し、SNSサイト運営者などへ対処を呼び掛けている。 OpenPNEには、携帯電話端末からサイトへアクセスした場合に、ユーザーがIDを入力しなくても、端末ID（固体識別番号）のみで自動的に認証できる「かんたんログイン」機能がある。問題はこの機能の実装方法に起因するもので、端末IDを不正に入手した第三者が正規ユーザーになりすましてログインし、内容を閲覧したり、改ざんしたりするほか、情報を漏えいさせてしまうなどの恐れがある。 OpenPNEプロジェクトによると、影響を受けるのはOpenPNE 1.6～1.8、OpenPNE 2、OpenPNE 3で携帯電話版のかんたん
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
にっくきかんたんログイン
News Release 2010 年 4 月 30 日 株式会社ユービーセキュア（本社：東京都千代田区、代表取締役社長：船田尚）は、2010 年 4 月 30 日 （金）より Web アプリケーションぜい弱性検査ツール「VEX」の
Buzzurlからのお知らせ: 【Buzzurlモバイル】かんたんログイン機能終了のお知らせ