spモードメールで、メールの発信者が別の人のメールアドレスにすげ替えられてしまう spモードメールクライアントのアカウント情報が他人のものになってしまうというトラブル。
加入者に強くひも付いたシステムになってるはずなのになんでこんな不思議なことが起きるのか理解できなかったのですが、記者会見での詳細が幾つかのニュースサイトに出ていました。
「あってはならない」個人情報流出の可能性も――ドコモがspモード不具合の経緯を説明 - ITmedia +D モバイル
ドコモ、“他人のメアドになる”不具合は解消――10万人に影響 - ケータイ Watch
加入者はIPアドレスで識別されていて、そのひも付けが伝送路障害をきっかけに混乱した、ということのようです。加入者とのひも付けは全然強くない…というか恐ろしいほど弱いシステムでした。
まず、「IPアドレスで加入者を識別する」という思想がかなりやばいと言わざるを得ません。初期iモード時代は無線ネットワークと一体になっていたシステムだったため容易に端末=加入者を識別出来たのでしょう。それがIPネットワーク化によりレイヤが代わり無線ネットワーク上の端末識別IDが使えなくなったため、IPネットワークで端末を識別するものは何か→IPアドレス→ではそれと加入者をひも付けて管理しよう、と安易に考えてしまったのでしょう。
発想がいかに安易だったかはシステム構成の面倒さにも見て取れます。IPアドレスには限りがあるため接続のたびに払い出し切断されたら回収しなければなりません。したがってどのIPアドレスを誰が使っているかはリアルタイムで替わります。これを個人の識別に使うためには、リアルタイムでIPアドレスとそれを利用している加入者のひも付けを管理し、個々のサービスが都度そのひも付けを検索しなければなりません。これを実現するのが記事にある「セッション管理サーバ」なのでしょう。
不必要に面倒なシステムにはたいてい穴があります。今回の問題は、次のような過程で起きています
- 伝送路障害で多数の端末が切断
- IPアドレスが解放されたが、ユーザー管理サーバが輻輳し応答しなかったためIPアドレスと加入者のひも付けが削除されなかった
- 端末が再接続し、IPアドレスが割り当てられたが、ユーザー管理サーバが応答しなかったためIPアドレスと加入者のひも付けが更新されなかった
- メールシステムがIPアドレスから加入者を識別する際、削除し損ねた切断前の加入者だと返答した
情報処理試験の問題にでも出来そうな内容ですね。
Q. この構成の問題点はなにか*1
A. ユーザー管理サーバが応答しないとセッション管理サーバの情報が更新されないままとなる
Q. 解決策を示せ
A1. (2.)において、ユーザー管理サーバが応答しなくてもセッション管理サーバはひも付けを削除する
A2. (3.)において、ユーザー管理サーバが応答しない場合、残存しているひも付けを削除する
記事では「ユーザー管理サーバの性能は十分だったはずなのに輻輳した」のが問題のように語られてますが、全然違います。「スマートフォンの急増が背景」とドコモの人がNHKで言ってましたがこれも違います。ユーザー管理サーバが死んだときの異常系の検討漏れです。
まぁ「設計ミスです」と言ってしまうとしゃれにならないので性能問題だということにしたいのでしょう。たぶんこの問題過去にも起きていたのではないでしょうか。多段の処理が100%確実に成功しているとはとても思えません。セッションの削除と更新が両方とも失敗しないと表面化しないので「極まれに」というレベルだとは思いますが。
この記事へのコメント
さすがに、他人のメールが受信できる(可能性がある)状態になっていたならば、その旨が説明されているだろうと思います。
つまり、POPは幸い影響を受けずに済んだ、という事なのではないかと。
現在入手できる情報から推測すると、SMTP(送信)時のMAIL FROM(送信元指定)で送信されるメールアドレスが他人のものに置き換わってしまった、ということなのではないかと思っています。
ここは多分違うのではないかと。
おそらくSPモードメールではヘッダ情報に送信元としてIPアドレスを記述し管理してるのではないかと思いました。
なので送信元として別の人が表示される。
しかし送信先（to)は受信側が接続していてもいなくても（IPアドレスが割り振られててもいなくても）メールサーバに届かないといけないので、メールアドレスで記述され管理されてるのではないかと思いました。
これは素人の戯言ですので、どっちが正しい･間違いという事ではなく、報道を聞いた時の私の理解とちょっと違いましたので、こうじゃないですかと言う話として。
SPモードの利用者増大（スマホの急増）予測を見間違った事によって、一部の経路にて障害が発生して再接続時に障害発生経路以外のユーザ管理サーバだけではSPモードユーザを捌けなかった。
と思ったんですが違うでしょうか？
上記であれば、設計ミスの指摘は免れませんが「スマートフォンの急増が背景」は嘘ではないでしょうし「ユーザー管理サーバの性能は十分だったはずなのに輻輳した」障害が発生しなければ充分だったとも言えなくないかと思います。
追記で書いたとおり、クライアント側で表示される「マイアドレス」が変更されている以上、クライアントのアカウント情報が他人のものと入れ替わったと考えるのが自然です。
> koji さん
なぜ輻輳が起きたかという点も興味深いところですがあまり本質ではありません。問題は「どういう理由でユーザー管理サーバが停止したか」ではなく、「なぜユーザー管理サーバが死ぬとひも付けが混乱するのか」というところです。
> ドコモの他人のSPモードメールを受信してしまう障害はアプリックス社のアプリの設計ミス from ガジェットショット
SPモードそのものの設計にクライアントアプリを作った会社が関わっているとは思えません。アプリックス言いたいだけちゃうんかと。
プライベートアドレスでしょうからＩＰアドレスは十分あり、通常ＩＰアドレスの変更は電源断や新規契約くらいしかないのかもしれませんね
ここまで言うのはドコモが発表するまで我慢しておきましょうよ。設計した本人が言うならまだわかるけど
妄想に過ぎないでしょ。
その根拠は？ 実際の他人のメールアカウントの電子メールが読めたという実例はどこかに出ていますか？
shinさんの妄言の様な「詐欺的な表現」で済ませたりしたら、総務省が黙ってはいません。この期に及んで、「背景や原因」はともかく、「実態・現象」を隠し立てする様なことはあり得ないですよ。
「技術屋」さんだからといって、「戯れ言」と言い訳しながら「妄言」書いちゃいけません。最初は良い事書いておきながら、結局最後は厨房並みになってしまいますよ。
SPモード決裁を含めて多数のサービスが影響を受けている可能性があると言うことで停止されましたね。
SPモードで払い出されるアドレスはv4のプライベートアドレスです。
あと解決策云々で書いたのは今回の事象のように有効でないひも付けが残ることにたいしてなので、本質的な解決策ではありません。他人のものと入れ替わるよりは死ぬ方がマシだろうという程度の話です。
今の思想を安全に実装することも可能とは思いますが、特に異常系は慎重に考慮する必要があるでしょう。
これってやばいっていうより、仕組みにあるとおりプッシュをしているから必要だっただけでは？
受信したっていう通知をクライアントに送信しないとだめなので、メールアドレスと通知先となるIPアドレスのヒモ付けをしておく必要があったと。
なのでそれを「不必要に面倒なシステム」というのはどうなんでしょうね。
そのヒモ付にアクセスできなかったらプッシュできないってだけにしてたならよかったんでしょうけど・・・
SPモードメールのpush通知はSMSなのでIPは使っていないはずです。
一般論としてなんらかセンターから端末に通信するために加入者とIPアドレスのひも付けが必要だったとしても、そのために必要なのは「加入者→IPアドレス」のひも付けで、今回問題となった「IPアドレス→加入者」のひも付けとは意味合いも要求される信頼性も異なります。
おっしゃるように「プッシュ用にひも付けが必要だった」のでそれを実現する仕組みを用意して、そのひも付けを逆方向に検索し認証に用いたのであれば、その発想はやはり「やばい」と言わざるを得ませんし、その程度の考えで認証を実現しようとしていたのであればより問題は大きくなります。
shinさんの意見に同意です。
>不必要に面倒なシステムにはたいてい穴があります。
同感です。
最初の発想は”安易な思いつき”（自然な発想とも思えませんが）でも構いませんが実装前に十分に検証せず、とってつけたようなシステムが多いと感じます。
処理能力をあげる対策を発表していましたが、設計ミスを認めるべきだと思います。（次につなげることが大事だと思います。）
２．
SPモードメールの仕組みを解説した資料を見ましたが、
3.2サービスアプリ認証機能 について、今回の問題との関係がよく理解出来ませんでした。
解説していただけると助かります。
http://www.nttdocomo.co.jp/info/network/kanto/pages/111220_3_d.html
「他人のメールが受信される」は2017人だそうです。
> 3.2サービスアプリ認証機能 について、今回の問題との関係がよく理解出来ませんでした。
「サービスアプリ認証機能」で行われているのは、1.メールクライアントの正当性確認 2. アカウント情報の取得(メールアドレス、SMTPS/POP3Sのパラメータ)、のようです。この 2. で他人のものが取得されてしまったのが今回の事故です。
> うしさん
やっと公式に認めましたね。しかし、メールだけでなくSPモード全体にわたって個人識別が混乱していたはずなので、そのことに言及せずメールだけの障害かのように発表するのもやはり事態を矮小化しています。
能動的な利用者は送信者であり、送信者側は気付くができないのだから、
「メールが他人に送信られる」が正しいような…
>A1. (2.)において、ユーザー管理サーバが応答しなくてもセッション管理サーバはひも付けを削除する
>A2. (3.)において、ユーザー管理サーバが応答しない場合、残存しているひも付けを削除する
年末にこの解決策A1を急遽やっちゃったんでしょうね。
1/1日の夜から、マイアドレスが消えてメールが使えなくなりました。
UMTSの資料は探せばいろいろ出てきますが、初めての人でも読めるのはhttp://meetings.ripe.net/ripe-53/presentations/gprs.pdfでしょうか。Nokiaが2006年にとある携帯operator向けのミーティングに出した資料です。ざっくりではありますが、ドコモが会見で出した資料の用語やnodeがUMTSのどれに対応するのかはこれでわかります(というか、あの資料の用語書き換えはいかがなものかとすら思ってしまいますが)。Packet網に注力しすぎたのか、GSMとshareしている機能が一部描かれていないのが要注意ですが。ともかく、この資料をまず頭に入れ、次にWikipediaなどでGSMやUMTSのkeywordsを調べれば、UMTSがどのように作られ、どのように動くのかがわかることでしょう。
宿題を一つ。「UMTS網は、セッション管理とユーザ管理を別のnodeで行うことにより何を実現しているのか?」意趣返しなのは重々承知してますが、網のarchitectureを動かせない以上、あのような後付け問題を出されたらこういうことを逆に考えたくなるわけで。
wi-fiからもSPモードメールが利用できることから通知にSMSは使ってないはず。
spモードメールはWiFi+3G圏外だとプッシュになりませんが、これはSMSが届かないからですね
MNPしたヒトはいっそのこと「使わない」って選択肢あるんじゃないですか？
ハードを安く買うために入る必要性はあるんでしょうが。
この記事へのトラックバック
配信元：産経新聞 2011/12/27 19:14更新
http://www.iza.ne.jp/news/newsarticle/business/infotech/540008/... (2012/01/13 02:29)