KDDIの新GWで「かんたんログイン」なりすましの危険性あり直ちに対策された
au/KDDIの2011年秋冬モデル（現時点ではF001のみ）にてEZwebとPCサイトビューア（以下PCSV）のゲートウェイが統合されたことに伴い、かんたんログインを実装しているサイトに対して、F001のPCSVからJavaScriptを用いた「なりすまし」攻撃ができる状態でした。この問題をKDDIに通報したところ、直ちに対策が取られ、現在は安全な状態です。以下、詳しく報告します。 目次概要 経緯 何が問題か 経緯説明(1)基本的なチェックは対処済みだった 経緯説明(2)ハイフンをアンダースコアに変えるトリックは対策済み 経緯説明(3)海老原氏が発見したトリックとは 経緯説明(4)KDDIに連絡→翌日に対処 実証例 外部からJavaScriptを実行できる条件 影響を受けるサイトの条件 影響 対策 今回の問題は、端末あるいはau設備の脆弱性なのか まとめ 概要以前、「EZwebの2011
auのPCサイトビューアーで脆弱性が発覚か？ – 続:auのEZWebがそろそろ終了しそうな件 | [ bROOM.LOG ! ]
ニコニコPodder iPhone/iPod/iPad対応ニコニコ動画簡単インポートツール aggregateGithubCommits GitHubレポジトリでのコミット数をAuthor/期間別に集計します probeCOCOATek 新型コロナ接触確認アプリCOCOAが配布するTEKを表示・集計 この記事はauのEZWebがそろそろ終了しそうな件の続編です。 当該記事では「EZブラウザとPCサイトビューアーのIPアドレス帯域が統一される」ことから場合によってはEZWebの課金システムや一部認証が脆弱性に晒され得るのではないかと危惧したのだが、もしかすると本当に現在それが起きていた(いる)かも知れない。 F001のHTTPヘッダ F001（PCサイトビューアー）※一部伏せ字 あれ？REMOTE_ADDRが111.87.241.##？ これ、2011年秋冬モデル以降の一部機種のEZブラウザ
私はいかにしてソフトバンク端末60機種のJavaScriptを検証したか - ockeghem's blog
昨日のソフトバンクの非公式JavaScript対応の調査結果 | 徳丸浩の日記で報告したように、昨年5月に、ソフトバンク60機種の検証を行い、JavaScript対応の状況などを調査しました。当時はまだ公式なJavaScript対応機種はない状態でしたが、既にほとんどの端末が *非公式に* JavaScriptに対応していました。 このエントリでは、検証の様子を報告します。 なぜJavaScript対応状況を調査したか http://www.hash-c.co.jp/info/20091124.htmlを公表した前後に、とある方（この方）から、ソフトバンクのケータイでもJavaScriptが動作すると伺いました（参考のやりとり）。XMLHttpRequestも含めてJavaScrptが動くと教えていただいた932SHを私も購入して調べたところ、以下が判明しました。 確かにJavaScrip
SoftBankガラケーの致命的な脆弱性がようやく解消 - 高木浩光＠自宅の日記
■ SoftBankガラケーの致命的な脆弱性がようやく解消 ソフトバンクモバイルのガラケーWebブラウザで、https:接続する際の仕様に変更があった。昨年10月に予告が発表され、元々は2月に実施される予定だったのが、6月30日に延期されていたもの。これまで、https:サイトへのリンクのすべてが https://secure.softbank.ne.jp/ 経由に書き換えられる仕様だったが、この機能が廃止された。 ソフトバンクモバイル、携帯サイトの仕様変更で注意喚起, ITmedia, 2011年6月30日 Yahoo! ケータイ、2011年2月に仕様変更 ユーザーとサイト開発者に注意喚起, ITmedia, 2010年10月15日 MOBILE CREATION - WEB & NETWORK SSL/TLS, ソフトバンクモバイル これは、昨年6月に、ソフトバンクモバイル宮川CTOに
携帯電話向けWebにおけるセッション管理の脆弱性
1 Web Session Management Vulnerabilities in Mobile Web Application * Hiromitsu Takagi Web HTTP ID ID ID 1 1999 NTT i i Web ID ID URL URL ID i EZaccess KDDI EZweb HTTP X-UP-Subno ID EZweb Web ID Web ID EZweb [1] * , 101-0021 1-18-13 1003 , National Institute of Advanced Industrial Science and Technology, Akihabara-Daibiru Room 1003, 1-18-13, Sotokanda, Chiyoda-ku, Tokyo 101-0021 JAPAN X-JPhone-UID
ユーザー視点でつくる 携帯サイト制作の基礎知識 (株式会社ビー・エヌ・エヌ新社)
ユーザーをつかんで逃さない、ユーザビリティに優れた携帯サイトとは？ 「ひとりに一台」が当たり前となったモバイルは、常に持ち運べるメディアとして様々な可能性をもっています。本書では、モバイルを取り巻く環境から、携帯サイトを構築するうえでの基本的な知識、マーケティングツールとして活用するうえでのポイントまでを、第一線の現場の声とノウハウを反映させて１冊にまとめています。 ISBN：978-4-86100-697-5 定価：2,625円（本体2,500円＋税） 仕様：B5判／160ページ 発売日：2010年5月25日 著者：株式会社 IMJモバイル 目次： 第１章 「ケータイでネット」を取り巻く環境 01 「生活の一部」となったモバイル端末 02 充実度を増したサイトデザインとコンテンツ 03 急速に高まるモバイルサイトの価値 04 市場の変化に伴うユーザーの
HTML::DoCoMoCSS
NAME HTML::DoCoMoCSS - css inliner SYNOPSIS # src use HTML::DoCoMoCSS; my $inliner = HTML::DoCoMoCSS->new(base_dir => '/path/to/documentroot/'); $inliner->apply(<<'...'); <html> <head> <link rel="stylesheet" href="/css/foo.css" /> </head> <body> <div class="title">bar</div> </body> </html> ... # foo.css .title { color: red; } # result <html> <head> <link rel="stylesheet" href="/css/foo.css" /> </h
auの携帯でapplication/xhtml+xml; charset=utf-8なサイトを見ると問答無用で文字化けする - gifnksmの雑多なメモ
ちょっとはまったのでメモ。ググっても同じような症状は見つからなかった。 手元の携帯(W51H)のezwebのブラウザはapplication/xhtml+xmlな文章の文字コードをShift_JISとしか認識してくれないようだ。HTMLヘッダの方で文字コードを指定しても文字化けをした。 <?xml version="1.0" encoding="utf-8"?> こんな感じにxml宣言で文字コードを指定していても文字化けをしていた。metaタグが無いのがいけないのかと思い， <meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> てな感じで文字コードを指定しても駄目。 結局.htaccessの方をいじって解決。 AddType "text/html; charset=utf-8" .html Rewrite
Top - FireMobileSimulator.org
FireMobileSimulatorはFirefox/Chrome版ともに配布・メンテナンスを終了しました。本ページの内容は記録のみの目的で残しています。 FireMobileSimulatorとは？ FireMobileSimulatorは、主要３キャリア（DoCoMo/Au/SoftBank）の携帯端末ブラウザをシミュレートして、モバイルサイト開発を容易にするために作成されたGoogle Chrome/Firefoxの拡張機能です。携帯端末のHTTPリクエスト、絵文字表示、位置情報送信機能などの動作をシミュレートすることができます。 モバイルサイトをPCで閲覧するために、従来からある方法として、キャリア公式シミュレータの使用、Proxyの使用、Firefoxのuseragentswitcher+modify headersの組み合わせ等、色々と手段はありましたが、これらの方法はそれぞ
携帯電話向けWebアプリのセッション管理はどうなっているか - ockeghem's blog
最近購入したPHP×携帯サイト 実践アプリケーション集を読んでいて妙な感じがしたので、この感覚はなんだろうと思っていたら、その理由に気づいた。本書に出てくるアプリケーションは、PHPのセッション管理機構を使っていないのだ。そんな馬鹿なと思ったが、目次にも索引にも「セッション」や「session」という語は出てこない。サンプルプログラムのCD-ROM上で session を検索しても出てこないので、セッションはどこでも使っていないのだろう。 そうは言っても、本書にはブログやSNSなど認証が必要なアプリケーションも登場する。本書で採用している認証方式はこうだ。 携帯電話の個体識別番号を用いた、いわゆる「かんたんログイン」のみを使う 認証状態をセッション管理機構で維持しない。全てのページで毎回認証する そのため、「iモードID」など、ユーザに確認せずに自動的に送信されるIDを用いる つまり、全て
作ろうiモード：iモードブラウザ2.0新機能一覧 | サービス・機能 | NTTドコモ
ブラウザの表示領域としてQVGA描画モードとVGA描画モードに対応しています。 なお、QVGAモードは従来のiモードブラウザ1.0と同一の動作となっています。 液晶自体の解像度はVGAサイズ（横480dot×縦640dot以上）ですが、ブラウザ表示領域としてはQVGAサイズ（横240dot×縦320dot以上)に換算して描画を行います。そのため、HTML内のサイズ指定値や画像のサイズは縦横2倍の値として描画されます。 ブラウザ表示領域としてVGAサイズ（横480dot×縦640dot以上）として描画を行います。HTML内のサイズ指定値や画像のサイズは、そのままの値で描画されます。 なお、フォントに関してはdot指定する場合は上記の通りとなり、QVGA描画モードでは1行に表示できる文字数は半分になります。一方、大/中/小などで指定する場合は、モードに関わらず1行に表示できる文字数は同一とな
P07Aも来てました
携帯関連の将来や最新の技術情報や業界の行く末などを適当に綴るblogです。 内容の信憑性は？余り信じない方がいいと思います。 本家の鈴の音情報局はこちら→http://suzunone.0g0.jp:8800/ スマホ・携帯端末アクセス[ランキング]／[アクセスシェア(グラフ)] (毎年10/1にログをクリア) 知らない間にP07Aも来ていました。 鈴の音情報局的には夏機種のi-modeブラウザの500KBは間違いないと断定させていただきます。 >DoCoMo/2.0 P07A(c500;TB;W24H15) あと他にも分かったことが有ります。 どうやらJavaScriptとクッキーにも対応しているご様子。 こちらはもうちょっと検証をしないと何とも言えませんが、今までの携帯ブラウザと明らかに 違う挙動をされております。少なくともこのアクセスではJavaScriptとクッキーの生体反応が 見
C-Production – UNIXとプログラミングの備忘録
大変ご無沙汰です。約1年半ぶりの更新です。 昨日、ブログを設置しているサーバでOSのアップデートに問題が発生したため、これを機に新サーバ・新OSに乗り換えることにしました。 現在のブログがマルチサイトのため、そのままでは新サーバの構築に苦戦すると予想されるため、他のブログの記事を統合しました。 統合内容は以下の通りです。 ・C-Production ・・・ メインサイトのため、他のブログを吸収して継続。 ・♪8thNote♪ ・・・ メインサイトに統合済みだったので、削除。 ・モバイル魂 ・・・ メインサイトに記事を引き継ぎ、並行稼働中。 ・無線のドキュメント ・・・ もともと閉鎖予定だったので、そのまま削除 外部SNSのアカウントについてはそのまま継続します。 今後ともよろしくお願いします。
脚注7 - 端末固有情報 - Wikipedia
契約者固有ID（けいやくしゃこゆうアイディー）とは、携帯電話などでウェブサイトを閲覧したときにサーバに送信される識別子であり、狭義には携帯電話の契約者ごとに固有のID（機種変更を行っても契約者が同一である限りは変更されないID）を指し、広義には端末ごとに固有のID（機種を変更すると変更されるID）を含む。キャリアによってその呼び方は異なる。 これらのIDは各事業者が独自に付与するもので、GSM/W-CDMA方式の携帯電話全般で加入者識別に使用されるInternational Mobile Subscriber Identity（IMSI）や、同じく端末識別に使用されるInternational Mobile Equipment Identity（IMEI）との関係はない。またIDの形式や文字数・使用される文字種別などは事業者によって異なっている。 日本では、ウェブアプリケーションにおいて「
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
docomo ID 認証インターフェース仕様書
[perl]Apache2::AuthenMobileJP かいた
携帯３キャリア個体識別情報(uid)の特徴 - 有限会社テクニカル・パズル
docomo IDについて | NTTドコモ
ケータイ公式サイト&ダウンロードサイトのユーザビリティ6つのポイント（第4回） | モバイルサイト構築のユーザビリティいろは
ケータイの絵文字はどこまでズレるのか - 帰ってきた💫Unicode刑事〔デカ〕リターンズ
{{#tags}}- {{label}}
{{/tags}}