はてなブックマーク > y-kawazの日記 - 珍しく間違った批判をしている高木先生

y-kawazの日記 - 珍しく間違った批判をしている高木先生

http://d.hatena.ne.jp/y-kawaz/20070224 のスクリーンショット

URL：: http://d.hatena.ne.jp/y-kawaz/20070224
注目：: d:id:y-kawaz の注目エントリー
カテゴリ：: コンピュータ
はてなスター：

巡回サイトの一つである高木浩光＠自宅の日記で以下のようなエントリーがあった。高木浩光＠自宅の日記 - 携帯電話向けWeb アプリの脆弱性事情はどうなっているのかここではいつもの高木氏の口調で、「携帯向けWEB アプリ開発では未だにGETパラメータでセッション IDを渡しており、それはこれまでも何度もいかんことだと言っている。」というような内容が語られている。確...
携帯業界の認証事情 - y-kawazの日記

※ はてなブックマークは無料のソーシャルブックマークサービスです。はてなにログインすると、このページにコメントしたりブックマークしたりすることができます。

このエントリーをブックマークしているユーザー (189 +43)

2008年07月14日 webmarksjp モバイル, 認証, セキュリティ, tips, security, 携帯, *security, phone, mobile ケータイ
2008年06月13日 bunhiko ケータイ, モバイル, 認証, セキュリティ, tips
2008年06月04日 nekojitan security, 携帯
2008年04月26日 Wolfi
2008年04月07日 dandu security, mobile
2008年04月04日 okonomi mobile
2008年03月13日 komagata mobile, security これは面倒だなー
2008年02月28日 emorins ケータイ, モバイル, 携帯, セキュリティ
2008年02月12日 rekramkoob mobile, phone, *security, web, development
2008年01月28日 tohokuaiki 携帯端末自身の改造は？→コストとの兼ね合いだろうな
2007年11月13日 edajima
2007年10月18日 harupiyo 携帯サイトでセッション管理が安全にできる理由
2007年09月14日 japanrock uid 偽装携帯 softbank
2007年09月11日 ftnk Mobile, Security, 携帯携帯電話向けWebアプリの脆弱性事情について
2007年08月07日 yoshitetsu mobile, 認証
2007年08月03日 jugong mobile読み物
2007年07月26日 starcycle セキュリティ, 携帯電話, RubyOnRails, セッション
2007年07月10日 silver_arrow ケータイ, Network, Security
2007年06月24日 yabumaru 携帯電話, 認証, 携帯, 携帯サイト, モバイル, mobile, security
2007年06月22日 peppon 携帯
2007年06月19日 lopnor mobile
2007年06月15日 junsaku web開発, ケータイ
2007年06月14日 hide-K 携帯
2007年06月14日 linden 携帯
2007年05月30日 anpod 携帯, WEBアプリケーション
2007年05月24日 bizero 携帯認証についてのコメント
2007年05月23日 hidea 携帯
2007年05月21日 ymorimo mobile ケータイ特有のセキュリティ事情・・・
2007年05月08日 morimoriyaseo mobile, security
2007年04月28日 skimatic mobile, security
2007年04月21日 shoism mobile
2007年04月15日 gugugonta security, mobile
2007年04月09日 inamenai セキュリティ, 携帯電話
2007年04月04日 mytokachi 携帯サイト
2007年03月28日 akr_nkmt mobile, セキュリティ, 携帯サイト, 携帯, 認証
2007年03月28日 endor mobile, security
2007年03月16日 like_a_c3po 携帯, webアプリ, 開発, 認証
2007年03月07日 ukky3 security
2007年03月05日 HISAMATSU 携帯, セキュリティ携帯での認証の話
2007年03月01日 pateo セキュリティ, モバイル
2007年03月01日 antipop
2007年02月28日 tartarus モバイル, セキュリティ, tips
2007年02月27日 gomis security, mobile
2007年02月27日 tks_period Web, 携帯, プログラムタイトルどうでもいい、というより変えて欲しいなｗ　携帯での認証の方法とその背景。
2007年02月27日 bongkura mobile
2007年02月27日 htktyo Mobile
2007年02月27日 infohack netwatch
2007年02月27日 westlife security, mobile
2007年02月27日 yau security, k-tai
2007年02月27日 kusigahama
2007年02月27日 kenkitii mobile, security
2007年02月26日 p-4 PC・デジモノ, 興味深い間違ったというより自分のフィールドだけでやって誤解を呼ぶという感じ。まぁ雑誌もイロイロ事情があることを含めてこの記事でフィールドがあるべきところに戻ってユーザにとってはこちらが望むべき着地点かな。
2007年02月26日 carrierpigeon web開発, 携帯サイト
2007年02月26日 cvyan セキュリティ, 携帯, web
2007年02月26日 Seacolor security, mobile キャリア毎にIPアドレス制限をする限りにおいては端末IDやユーザIDは偽装不可能*3なので、むしろ他人でも入力可能なパスワード認証よりも強力な認証かもしれません。逆にいえばその認証方法があるからこそ携帯業界では
2007年02月26日 p_chopin Mobile, Security, Develop とにかくIP制限。
2007年02月26日 hiroto-k mobile, security
2007年02月26日 fedlic mobile, security, ケータイ, セキュリティ, モバイル, 携帯, 携帯サイト　公式サイトと勝手サイトじゃ全然違うからねえ
2007年02月26日 yuyamagu security, webapp, 携帯電話, 携帯サイト
2007年02月26日 cubed-l ケータイ, セキュリティユーザIDはGWで付加するから偽装はできない模様。ユーザID使えるなら使った方がいいってことだな／高木氏は端末IDについてしか述べてない
2007年02月26日 vkgtaro mobile
2007年02月26日 NOV1975 security べき論からいうと間違いではないと思うけど、現実はそれだと何もできないということですな。本来は現実をただすべきだけど、既存のものについてはキャリアの都合だけではもはや(コストの面で)変更不能な気がする。
2007年02月26日 hmd703 web, text, mobile 携帯セキュリティ関連
2007年02月26日 holysugar mobile, webapp
2007年02月26日 suVene mobile, security
2007年02月26日 cxx security, mobile
2007年02月26日 penguin_niisan mobile, security
2007年02月26日 katapad mobile, php
2007年02月26日 toshi19650104 セキュリティ, ケータイ, web
2007年02月26日 walf443 mobile
2007年02月26日 kmachu security, mobile, auth
2007年02月26日 adramine mobile, security
2007年02月26日 fuki1234 mobile, セキュリティ
2007年02月26日 makoga ケータイ, セキュリティ, referer
2007年02月26日 hatman 携帯サイト
2007年02月26日 ziguzagu security, mobile, web
2007年02月26日 hamasta article-misc >携帯用のセッションIDとPC向けのセッションIDは共有してはいけない | む
2007年02月26日 koma-tak WebApp
2007年02月26日 fbis mobile, security, tips, web
2007年02月26日 bakukun44 ケータイ, セキュリティ
2007年02月26日 tyamamoto mobile, security
2007年02月26日 obacan #続報
2007年02月26日 Cuckoo security
2007年02月26日 sudo44ug security
2007年02月26日 tomohiko11 web開発, ケータイ, モバイル
2007年02月26日 send Security, mobile
2007年02月26日 youichirou セキュリティ, 携帯電話ドコモ等の認証について
2007年02月26日 aebisawa security 人のいっていることをそのまま信じちゃうのはだめだね！教訓。
2007年02月26日 zumeblog ケータイ
2007年02月26日 piccadillyumeda mobile, security, スルー力
2007年02月26日 atomoharu セキュリティ, web開発, 携帯
2007年02月26日 niwaringo
2007年02月26日 nezuku セキュリティ, 携帯
2007年02月26日 joan9 携帯, security
2007年02月26日 hiro1963 tips, mobile, web開発
2007年02月26日 dango-itimi mobile, tips -
2007年02月26日 otom mobile, セキュリティ
2007年02月26日 weblogconcent mobile, php, security, web, セキュリティ, 携帯, 携帯電話
2007年02月26日 aki77 mobile, security
2007年02月26日 sonosonosono security, ケータイ, 携帯電話違和感を感じていたところをわかりやすく説明している。IPアドレスはキャリアごとに公開されてますよ。
2007年02月26日 ukidousan 携帯, セキュリティ旧vodafone端末にブラウザをいじれそうな（というかいじったブラウザでWAPにアクセスできそうな）端末があったのは内緒だ（実際にやった奴は多分いないし、もう対策されてるだろ、多分）
2007年02月26日 dlive1 mobile, php, security, Web 携帯のWeb閲覧での認証の話。端末IDとユーザIDは偽装できないのでこの二つを認証に使っても安全らしい。
2007年02月26日 machataka mobile, *php, security, ケータイ, セキュリティ, モバイル, 携帯
2007年02月26日 technerd ケータイ
2007年02月26日 xnissy mobile
2007年02月26日 witt mobile, php, security, web, 後で読む
2007年02月26日 fn7 携帯, web, security 携帯でのセッション管理についての考察。とくに高木先生への批判はどうでもいい
2007年02月26日 hiro7373 Security, 携帯電話
2007年02月26日 sunaoka Security
2007年02月26日 bonnaroo 携帯セッションIDの話。興味深い考察。
2007年02月26日 perezvon mobile, security
2007年02月26日 trickstar_os mobile
2007年02月26日 onk mobile 「uid に12桁の文字列を指定した場合はそれがどんな値だろうと強制的に正しいユーザIDに書き換えられてしまう」へぇ，凄ェ(笑) ここまでは知らなかったなぁ．
2007年02月26日 kuroapple web開発, 携帯
2007年02月25日 bsheep 我田引水な意見やね。＞「キャリア毎のIP制限をしてあれば」　それについて書いていないことは認めつつ、何故か携帯電話からアクセスすることと思い込んでたりどっちが勘違いしてるのか本気で意味不明な感じ
2007年02月25日 worris cellphone IPアドレス一覧は公開されているみたいです。http://q.hatena.ne.jp/1170758033
2007年02月25日 komz mobile, security
2007年02月25日 t_tsuru
2007年02月25日 hide0414 mobile, web, security
2007年02月25日 se-mi 携帯, セキュリティ
2007年02月25日 cyan0302 同じ事思ってた「どうせ携帯のIPからしか許可しないんだから、問題なくね？」みたいな。
2007年02月25日 yugui mobile
2007年02月25日 hirose31 mobile
2007年02月25日 kimucha mobile, security, *あとで
2007年02月25日 J2kawa mobile, セキュリティ, dev 高木先生がどーとか関係なく、勉強になった。
2007年02月25日 legnum mobile, security サイト側がしっかりしてないと危ないって点ではどっちも同じコト言ってる気がしますけども。何にせよケータイに全てが集約される方向になりそうなので危機感は持ち続けた方が良さそう。
2007年02月25日 yocchan731 セキュリティ, モバイル, php
2007年02月25日 anto security, あとで, ケータイ
2007年02月25日 QuietLife あとで読む
2007年02月25日 vogelzug mobile, security
2007年02月25日 iww 携帯, web
2007年02月25日 osktaka mobile, セキュリティ
2007年02月25日 yuiseki
2007年02月25日 amnesia4646 識
2007年02月25日 sabro mobile, security
2007年02月25日 takhasegawa 結局はUser-Agent頼みなので、新規に携帯用ブラウザ作っちゃえばいくらでも偽装可能なのでは？
2007年02月25日 shun262 web, security 携帯って不思議な独自規格があるからやめて欲しい
2007年02月25日 pale-ale mobile
2007年02月25日 msuhara そうかなぁ
2007年02月25日 ka-ta0
2007年02月25日 aspx
2007年02月25日 nintendogs ケータイ, security
2007年02月25日 nori-nori-nori security
2007年02月25日 morioka
2007年02月25日 postit Mobile, Security
2007年02月25日 scorelessdraw mobile, web, security
2007年02月25日 darashi mobile, security
2007年02月25日 hiboma 携帯, security
2007年02月25日 b-wind security, 携帯, web
2007年02月25日 ahat1984 mobile
2007年02月25日 zapa モバイル
2007年02月25日 polygra
2007年02月25日 kyuji 携帯, セキュリティ
2007年02月25日 kuenishi security, web
2007年02月25日 reima セキュリティ, 携帯, ネット
2007年02月25日 zee8 mobile, security
2007年02月25日 bluegale はてな, blog, Mobile, セキュリティ, web, programming, Topic, 情報, 技術, 読み物
2007年02月25日 gnw mobile, PHP, セキュリティ
2007年02月25日 myrmecoleon ケータイ, security ケータイでのネット閲覧はなんだかんだいってセキュリティが保たれてるって話。となると，端末自体を改造しないかぎりは不正アクセスはできないと。
2007年02月25日 tnks 携帯, security, mobile
2007年02月25日 yomo_t
2007年02月25日 ninnin2
2007年02月25日 p4life mobile uid=NULLGWDOCOMOって勝手サイトで使えるのかな
2007年02月25日 citora デザイン, Webシステム, モバイル, プログラム
2007年02月25日 mametanc セキュリティ
2007年02月25日 KoshianX 参考になる
2007年02月25日 tofu-kun 勉強＋後で調べる
2007年02月25日 smokymonkey
2007年02月25日 shidho セキュリティ, mobile PCを携帯電話でインターネット接続するとどうなるんだろう?GWで書き換えるのかな?
2007年02月25日 youpy
2007年02月25日 into_the_blue security, work, webappsec
2007年02月25日 rs6000moe あとで読む
2007年02月25日 abyssgate
2007年02月25日 FTTH # |ω・）…… 「まとめると」以降の超加速脱線がイイ。
2007年02月25日 b4-tt security
2007年02月25日 dotgram mobile, security, -
2007年02月25日 toton mobile セキュリティ原則とかじゃなくて実用的視点から概ね同意。心配なのは白ロム買っても端末IDは変わらないのと、あとよく知らないけどiアプリ・Windows Mobile phone でhttpパラメタ偽装とかできない仕様になってるのかなぁ。
2007年02月25日 walkinglint 携帯, セキュリティどうなんだろう > なので高木氏の以下の批判は的外れと言えるでしょう
2007年02月25日 Daisy-web 携帯サイト, セキュリティ, security
2007年02月25日 otsune mobile, netwatch
2007年02月25日 wacky Web, 携帯, 認証, セキュリティ携帯サイトにおいて、端末IDやユーザIDが偽装できない理由（IPアドレスの制限が前提）。（→ 駄目かも： http://kaede.to/~canada/doc/ipaddress-of-cellphone ）
2007年02月25日 mitsuki_engawa security, Mobilephone
2007年02月25日 Bookmarker ブログ, セキュリティー, 携帯電話, WWW
2007年02月25日 ckom ケータイ
2007年02月25日 terazzo mobile これは同意だけどNDA守らなくても良い理由にはならないと思う。＞情報が少ないことにより正しい実装に関する議論が育ちにくい。
2007年02月25日 ultraist security, cellphone DoCoMoはゲートウェイで端末IDを書き換える。←iアプリ対策？　他キャリアは承認したソフトしか使えない前提で仕様を作ってる？　←アプリが自由に使えるようなったときに仕様が変わるかも？
2007年02月25日 rna secu 携帯の端末ID,ユーザIDについて
2007年02月25日 lurker security
2007年02月25日 mi1kman セキュリティ, モバイル, 疑問, 脆弱性事実上安全であることと本来安全であることは違う気がする．それと端末を譲り受けるなど場合が考えられるので，端末IDとユーザは1対1にはならないのでは．

enhanced by Preferred Infrastructure

このエントリーの関連エントリー

2007年02月24日高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどう... takagi-hiromitsu.jp - 146 users
2007年06月14日携帯電話の「簡単ログイン」は個体識別番号を使ってこんなふうに... ameblo.jp:yosswi - 541 users
2007年02月28日 y-kawazの日記 - 携帯業界の認証事情 Part2 d:id:y-kawaz - 65 users
2007年12月13日 ke-tai.org » Blog Archive » PHPでケータイからセッションを使う場合の設... ke-tai.org - 197 users
2006年11月01日今夜分かるSQLインジェクション対策 ― ＠IT www.atmarkit.co.jp - 441 users

このエントリーを含むほかのエントリー (7)

補天鳥保管庫 - 携帯電話の「簡単ログイン」は個体識別番... d:id:hsada - 1user
携帯のブックマーク機能からはてなのサービスに一発ログ... d:id:tsubasouth - 1user
y-kawazの日記 - 携帯業界の認証事情 Part2 d:id:y-kawaz - 1user
pepponの日記 d:id:peppon - 2users
pepponの日記 d:id:peppon - 1user
y-kawazの日記 - 携帯業界の認証事情 Part2 d:id:y-kawaz - 65users
「旅行びと日記」日記: 携帯で端末ID詐称は可能かもしれな... tdiary.seesaa.net - 60users

このエントリーを含む日記 (8)

偽りの空と偽りの星 tsubasouth - 2008年01月03日
GOOGLE志望 sanjapo - 2007年12月21日
pepponの日記 peppon - 2007年06月22日
補天鳥保管庫 hsada - 2007年06月15日
y-kawazの日記 y-kawaz - 2007年02月28日
odz buffer odz - 2007年02月27日
小宮日記 mkomiya - 2007年02月27日
odz buffer odz - 2007年02月25日