■ 今こそケータイID問題の解決に向けて 目次 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 Web開発技術者向けの講演でお話ししたこと 研究者向けの講演、消費者団体向けの講演でお話ししたこと 総務省がパブリックコメント募集中 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 6月初めのこと、ソフトバンクモバイルが「電波チェッカー」というiPhoneアプリを直々に開発して、iTunesストアで配布を始めたというニュースがあったのだが、それを伝えるITmediaの記事で、「取得された電波状況情報はiPhoneのUDIDとともにソフトバンクモバイルに報告される」と書かれているのが気になった。*1 「電波チェッカー」で検索して世間の反応を探ったところ、ソフトバンクモバイル社のCTO（最高技術責任者）の方が、Twitterで直々に市民と対話な

■ ここまで破綻しているケータイID認証（簡単ログイン） 2009年夏、はてなブックマーク界隈では「かんたんログイン」が危ういという話題で持ち切りだった。IPアドレス制限をしていても突破できてしまうのではないかという話だった。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフトバンクの携帯用GatewayをPCで通る方法があるようです, ke-tai.org, 2009年8月4日 これは要するに次のような話だった。 まず、SoftBankの携帯電話で特定のAPN mailwebservice.softbank.ne.jp でネット接続して、所定のProxyサーバ sbwap

■ サイボウズOfficeも匙を投げた「簡単ログイン」 今年2月20日のこと、サイボウズOfficeに「簡単ログイン」機能があることに気づいた私は、以下の質問をサイボウズ社に送った。 「サイボウズ Office 8 ケータイ」の「簡単ログイン」機能についてお尋ねします。 「携帯端末認証に対応しているので、毎回ログインする手間なく利用できます」とのこと。試用版で試したところ、たしかに2度目以降はパスワードが不要のようです。 この機能は、いわゆる「契約者固有ID」を用いて実現しているものと理解していますが、「契約者固有ID」を用いて端末認証を行う場合、通常は、IPアドレス制限を行って、携帯電話事業者のゲートウェイのIPアドレスからのアクセスしか許さないように実装するものであると考えます。 しかしながら、「サイボウズ Office 8 ケータイ」はそうしたIPアドレス制限を施しておらず、一般のイ

■ ユニークIDがあれば認証ができるという幻想 2008年のNTTドコモによるiモードID送信開始以降、ケータイWebの世界に「かんたんログイン」なるエセ認証方式が急速に広がり、その実態は「はてなのかんたんログインがオッピロゲだった件」のように惨憺たるものになっている。こうした欠陥サイトはかなりあると考えられ、すべてを調べて廻ることはできないが、いくつかのメジャーどころのサイトについては、IPAの脆弱性届出窓口に通報して、対策を促す作業をやっている。 各サイトの「かんたんログイン」に欠陥があるかどうかは、実際に他人のIDでなりすましログインしてテストすることは許されない（不正アクセス禁止法違反になる）ので、自分用のアカウントを作成して（会員登録して）、自分のIDについてテストするのであるが、誰でも会員登録できるわけでないサイトがかなりあるようで、そういったサイトはどうしたらよいのか。以下は

■ はてなのかんたんログインがオッピロゲだった件 かんたんログイン手法の脆弱性に対する責任は誰にあるのか, 徳丸浩の日記, 2010年2月12日 といった問題が指摘されているところだが、それ以前の話があるので書いておかねばならない。 昨年夏の話。 2009年8月初め、はてなブックマーク界隈では、ケータイサイトの「iモードID」などの契約者固有IDを用いた、いわゆる「かんたんログイン」機能の実装が危ういという話題で持ち切りだった。かんたんログイン実装のために必須の、IPアドレス制限*1を突破できてしまうのではないかという話だ。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフ

やや古い話になるが、ドコモ携帯の携帯固有IDのみを用いたWebサイト認証の脆弱性がHASHコンサルティングより報告されている（情報公開日は昨年11月24日）。この問題は、数年前からセキュリティ研究家の高木浩光氏が指摘していたものだ（「無責任なキャリア様に群がるIDクレクレ乞食 ―― 退化してゆく日本のWeb開発者」、「ケータイWebはどうなるべきか」）。 この問題は読売新聞でも取り上げられている（「最新29機種ドコモ携帯、個人情報流出の恐れ」） 専門家では無いのでややセンセーショナルな読売の記事見出しが適切かどうかは判断が付きかねる。技術的な詳細に関しては専門の方々の解説を求む。 （追記@16:08）今回発覚した問題と、高木氏が指摘していた問題はどちらも固有IDを悪用するという点は共通しているものの、異なるものだという指摘をいただきました（#1702037）。高木氏が指摘していたのは、携帯

FireMobileSimulatorはFirefox/Chrome版ともに配布・メンテナンスを終了しました。本ページの内容は記録のみの目的で残しています。 FireMobileSimulatorとは？ FireMobileSimulatorは、主要３キャリア（DoCoMo/Au/SoftBank）の携帯端末ブラウザをシミュレートして、モバイルサイト開発を容易にするために作成されたGoogle Chrome/Firefoxの拡張機能です。携帯端末のHTTPリクエスト、絵文字表示、位置情報送信機能などの動作をシミュレートすることができます。 モバイルサイトをPCで閲覧するために、従来からある方法として、キャリア公式シミュレータの使用、Proxyの使用、Firefoxのuseragentswitcher+modify headersの組み合わせ等、色々と手段はありましたが、これらの方法はそれぞ

携帯電話の充電器を統一する計画が国際電気通信連合（ITU：International Telecommunication Union）によって承認されたそうだ。ITUとは、国連の専門機関の一つ（本家記事より）。 携帯電話側のコネクタはデジカメでも多く採用されているマイクロUSBが採用されることとなった。ケーブルを電源アダプタから取り外し、PCのUSBポートから充電するようにもできるという。国際規格が設置されることにより、製造される充電器の数を大幅に削減することが可能となる。新しい基準はメーカーに義務付けられるものではないが、実際には国際規格に準じないものが作られることは稀であるという。 すでに採用を決めているメーカーもあるとのことで、ソニーエリクソンのスポークスパーソンAldo Liguori氏は「当社では国際規格の充電機を2010年前半にスタートさせたいと考えている」と述べたそうだ。

ただいまの操作はお受けできませんでした。 再度操作してください。 電子版 トップへ Nikkei Inc. No reproduction without permission.

9月5日の読売新聞に、携帯電話の不正な音楽ダウンロードを阻止する「世界初」のシステムを、総務省と通信業界、音楽業界が協力して来年度にも導入する方針だという記事が出ている。これは携帯電話端末に著作権保護の仕組みを実装することで実現するもので、音楽をダウンロードした際、そのデータが正規に配信されたものかをサーバーに問い合わせ、不正なものと判断されたら再生しないという仕組みのようだ。 おそらくこれは、8月25日に開かれた総務省の「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」の結論を受けてのことだろう。この研究会はストリートビューのことばかりが注目を浴びたが、平行して、「II.違法音楽配信対策について」というWGの検討結果に基づく「第一次提言（案）」が盛り込まれていた。 この提言案にはパブリックコメントが寄せられ、この「違法音楽配信対策」に対しては次のような厳しい意見が集中してい

「iPhoneâ„¢ 3G」専用のメールサービス「Eメール (i)」のメールフィルター対応および文字コード「UTF-8」対応について KDDI、沖縄セルラーは、迷惑メール防止機能として提供している、特定の携帯電話・PHSからのメールを一括で受信/拒否することが可能なメールフィルター「一括指定受信」のソフトバンクモバイル対象ドメインに、「[email protected]bank.jp」(「iPhoneâ„¢ 3G」専用のメールサービス「Eメール (i)」のドメイン) を、本年11月14æ—¥ (金) より追加します。 これまで「[email protected]bank.jp」からのメールはインターネットメールとして受信していましたが、今回の対応により、ソフトバンクモバイルからのメールとして受信できるようになります。 また、文字コード「UTF-8」が使われたメールをau携帯電話で受信した場合、文字化けせずに正常に閲覧できるようシ

馬鹿じゃないのか。このようなセキュリティに関わる情報公開ページは https:// で提供する（閲覧者が望めば https:// でも閲覧できるようにする）のが当然なのに、携帯電話会社ともあろうものが、そろいもそろってこんな認識なのだ。 （8月2日追記: ソフトバンクモバイルについては「7月27日の日記に追記」参照のこと。） それをまた、ケータイWeb関係者の誰ひとり、疑問の声をあげていないことがまた、信じ難い。何の疑問も抱かずにこれをそのまま設定しているのだろう。 こんな状態では、ケータイWebの運営者は、DNSポイゾニング等で偽ページを閲覧させられても、気付かずに、偽アドレス入りの帯域表を信じてしまうだろう。 つまり、たとえば、example.jp というケータイサイトを運営している会社が example.co.jp であるときに、攻撃者は、example.co.jp のDNSサーバに

■ 日本のインターネットが終了する日 （注記：この日記は、6月8日に書き始めたのをようやく書き上げたものである。そのため、考察は基本的に6月8日の時点でのものであり、その後明らかになったことについては脚注でいくつか補足した。） 終わりの始まり 今年3月31日、NTTドコモのiモードが、契約者固有ID（個体識別番号）を全てのWebサーバに確認なしに自動通知するようになった*1。このことは施行1か月前にNTTドコモから予告されていた。 重要なお知らせ:『iモードID』の提供開始について, NTTドコモ, 2008年2月28日 ドコモは、お客様の利便性・満足の向上と、「iモード(R)」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 （略） ■お客様ご利用上の注意 ・iモードID通知設定は

■ EZwebブラウザの「お気に入り登録」は偽サイトを見分ける手段にならない 6月6日の日記「Upcoming Advisories」で書いていた、脆弱性届出「IPA#45031375」*1*2の件について、製品開発者がFAQとして事実を公開し、IPA#45031375 は11月26日に取り扱い終了となった。 EZwebで表示中のページのURLを確認する方法はありますか？, KDDI, よくあるご質問/お問い合わせ, 公表日不明*3 質問： EZwebで表示中のページのURLを確認する方法はありますか？ 回答： 確認方法はございません。 なお、お気に入り登録時にURLが表示されますが、そのURLはサイト提供者が任意に指定することができるため、必ずしも閲覧中のサイトと一致しない場合があります。 PCサイトビューアーの場合、「メニュー」から「ページ情報」で確認が可能です。 FAQには掲載された

DoCoMo / au / softbank 他 各種キャリア対応 自作着うたメロディ作成方法 対応ファイルの確認方法から着信音の作り方・自作ファイルの転送方法など技情報を公開 携帯サウンドプレイヤー対応の音楽ファイルや動画作成方法や 便利な関連ソフトのダウンロード方法/実際の使い方から設定方法の紹介 携帯関連 便利ソフト・着うた / 動画 技情報 着うた・着メロなど着信音・動画など　自作関連情報 無料で着うた　携帯着信音作成 (ドコモ/au/SoftBank) すっかり定着しつつある携帯の着信音 「着うた」 個人で作る事はできるのか？ その方法と作成手順～について 基本的に　今のほとんどの携帯ではMP3などの音楽ファイルは携帯電話では 再生や着信音設定ができない設定になっているものが多いです。一部スマホを除く・・ そこで、動画形式による音楽データのみを使用した保存方法など ここでは携帯電