高木浩光＠自宅の日記 - EMOBILEのX-EM-UID、はじめから破綻, 追記

暮らしカテゴリーの変更を依頼記事元:

takagi-hiromitsu.jp

41users がブックマークコメント

記事へのコメント7件

注目コメント
新着コメント

MinazukiBakera やっぱり皆さん気付いてますよねぇ……。

2010/04/30 リンク

riki3bow 何らかの力かァー。 RT: 高木浩光＠自宅の日記 - EMOBILEのX-EM-UID、はじめから破綻, 追記 –

2010/04/30 リンク

tsupo これは仕様としか言いようがない。したがって、すべてのWebアプリケーション開発者は、SSL接続で受信した X-EM-UID: の値を認証に使ってはいけないことを知っておく必要がある。イー・モバイルはこの事実を周知するべきだ

2010/04/29 リンク

kujoo "すべてのWebアプリケーション開発者は、SSL接続で受信した X-EM-UID: の値を認証に使ってはいけないことを知っておく必要がある" / 追記も

2010/04/29 リンク

hiroomi 「失敗がまったく共有されていない様子。EMOBILEが送信を開始したのは、docomoが送信を開始したのとほぼ同時だ。ろくに技術検討をすることもなく始めているような、何らかの力がこのような結果をもたらしているのでは」

ドコモ

2010/04/29 リンク

ockeghem 『通報して修正を促すことにし』<端末にせよゲートウェイにせよ修正・確認作業が大変で脆弱性対応に時間が掛かると予想される。今後もブラウザなどの脆弱性が発生する想定では、機種をむやみに増やすのは危険だ

2010/04/29 リンク

tach_ymn 失敗(欠陥)例（→iモードID）をそのまま追従したら、より酷い結果（→X-EM-UID）になるのは明らか。

2010/04/29 リンク

注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています

規約違反を報告

高木浩光＠自宅の日記 - EMOBILEのX-EM-UID、はじめから破綻, 追記

■ EMOBILEのX-EM-UID、はじめから破綻昨日の「SSL接続で得たX-JPhone-UIDを認証に使ってはいけない」か... ■ EMOBILEのX-EM-UID、はじめから破綻昨日の「SSL接続で得たX-JPhone-UIDを認証に使ってはいけない」から導かれる当然の帰結であるが、EMOBILEの X-EM-UID: についても同様に、SSL接続で得たものを認証に使ってはいけない。「IDがSSLで使えない」ではなく「SSLで得たIDを使ってはならない」である点に注意。つまり、http:// のページしか提供していないつもりでも、実はWebサーバが https:// でもアクセスできるようになっていて、同じWebアプリケーションプログラムにリクエストが渡るようになっていたりすると、https:// 経由でなりすましログインされてしまうということ。 EMOBILEの「EM net」はProxyサーバ wm.internal.em net.ne.jp:8080 によって提供されており、これをProxyとしてSSL接続