携帯電話でのいわゆる「かんたんログイン」について今年の初め頃から話題になっています。これについて、疑問があります。みなさんのご意見やお考えをぜひお聞かせください。
★ そもそも懸念されている危険性が起こる確率は低いのではないか？
私はこの問題の技術的背景については「そこそこ理解している」という程度のレベルですが、かんたんログインの問題点を突いて実際に悪用される確率はかなり低いと思います。
みなさんは現実的にどの程度の危険性の確率があると思われますか。
（もちろん確率が低いから放置してもいいでしょ・・・と言っているわけではありません）
JULY
3pt
dreamzico
サイト側が訪問者のIPアドレスを判別して、携帯会社のゲートウェイ制限をかけた上での話です。
そうすれば、かんたんログインの悪用を心配する必要はほとんどなくなると思うのですが・・・。
JULY1pt
IP アドレスを制限されていれば、「心配する必要はほとんどない」とまでは言えませんが、悪用されにくい、という程度には言えると、個人的には思います。
技術的には DNS Rebinding の問題も、準備は必要だけど難しくはない、といったレベルなので、IP アドレスが制限されていない状況下でのなりすましに比べれば、リスクは少ないですが、それでも「技術的には難しくない」という認識は持っていた方が良いと思います。
あと、darokwood さんが指摘されているように、実はキャリア側は、IP アドレスの範囲は保証されていない、とか、そもそも、その情報が改ざんされていないという保証が無い、とか、キャリアの IP アドレスから届いていても、相手が携帯電話であるとは限らない、とか、細かな問題もあります。
それと、固有 ID が持つプライバシーの問題も考えれば、簡単ログインを使わずに済むなら、使わない方が良いことには違い有りません。具体的な方策は、先の私のコメント中にある、高木浩光さんのページで、「こう作れば？」とうタイトルのスライド以降が参考になると思います。
9
8
darkwood
正確には、
の２つは分けて考えた方が良いと思います。
契約者固有 ID の問題は、プライバシー問題になります。具体的にどんな事が起きるかは、iPhone アプリの電波チェッカで起きた話が分かりやすいです。
高木浩光＠自宅の日記 - 今こそケータイID問題の解決に向けて
ただ、これは永続的な ID 全般にまつわる話なので、携帯の契約者固有 ID の問題ではありません。
で、かんたんログインですが、
かんたんログインの問題は、なりすましの問題になりますが、もし、サーバ側で適切な IP アドレス制限をしなければ、技術的には非常に簡単です。例えば、
なら、攻撃者にとっても美味しい状態です。３つ目の条件は、ピンポイントで「この ID」という事が分かっていなくても、適当なサーバを立ててアクセスされるのを待てば、山ほど ID は貯まるので、たまった ID を片っぱしから試せば、利用している人の ID は見つかるでしょう。
まぁ、決済を伴わないサイトだと、なりすます動機が小さくなるので、実際には、それほど起こっていないかもしれませんが、技術的な難易度は低いので、動機さえあれば悪用される可能性は高いと思います。
あと、DNS Rebinding を使った攻撃（セキュリティ情報 - iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性）は、実際に悪用するためには、それなりの手続きが必要で、かつ、端末側が JavaScript が利用出来る端末に限られるため、今のところは、攻撃者にとって効率が悪いかもしれません。ただ、端末の高機能化はどんどん進んでいるので、次第に攻撃者にとって美味しい問題になってくると思います。