パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

ヤマト運輸のモバイルサイトで「自分のものでないIDでログインできる」問題発生」記事へのコメント

  • ヤマトだけ? (スコア:2, すばらしい洞察)

    by Anonymous Coward
    まさかこれヤマトに限らず「クイックログイン」できるサイト全部に共通する話?
    • by Anonymous Coward
      つーか、「クイックログイン」って何?って俺はぐぐって、ようやく割と定番なやり方だと知った。

      と言うか、たかが数桁の数字だけでログインできるってことは、番号をずらせば他の誰かの番号になるのが当たり前で(下手すりゃ隣の番号ですら)、脆弱性うんぬんより、こんなのが認証システムになってる事自体が信じられないんだけど。

      何か違う?

      • by greentea (17971) on 2010年10月25日 15時33分 (#1847160) 日記

        番号の偽装ができないガラケーからしかアクセスされないという前提では、番号を変えることができないから誰かになりすませない、ということです。
        今回はその前提が崩れたため、こういう事態になりました。

        「高木浩光 かんたんアクセス」でググるといっぱい出てきますが、過去にも、その前提が成り立たない使われ方をしていたこともあります。
        それ以前に、キャリアのIPアドレス帯域を、キャリア自身が「本情報はあくまでも目安としてご参照ください。ゲートウェイ以外から本IPアドレスでのアクセスがない事を保証するものではありません」のような免責事項を設定していたり、HTTPSではなくHTTPで情報提供をしていたりで、高木先生によると、危険とのことです。

        --
        1を聞いて0を知れ!
        親コメント

192.168.0.1は、私が使っている IPアドレスですので勝手に使わないでください --- ある通りすがり

処理中...