「iモードが契約者IDを非公式サイトに対してもデフォルトで自動送信へ」記事へのコメント

銀行とかSSLサイトでは使ってはいけない技術

[Anonymous Coward]

ドコモの発表資料 [nttdocomo.co.jp]だと、パスワードなしでログインできるというのが売りのようだけど、これは危険ですね。iモードIDは誰でも収集できる(勝手サイトに誘引するだけで受信できる)ので、誰でも送信できます。

携帯キャリアのIPアドレスにアクセス制限するとかよくいいますが、少なくともSSLサイトだと駄目ですね。高木浩光氏が サブスクライバーIDをパスワード代わりに使うべ [takagi-hiromitsu.jp]

Re:

[Anonymous Coward]

しかし、常識的な構成でその攻撃を成功させるためにはDoCoMoゲートウェイのIPアドレスを詐称した状態で
TCP接続を成功させる必要があるわけで、それって結構難しいんでは無いだろうか。

# そもそもSIMカードに証明書でも何でも入れればいいじゃんとは思うが。

Re:銀行とかSSLサイトでは使ってはいけない技術

[signed-coward (17953)]

ドコモ端末はクライアント認証機能は持ってるんですが、
コンテンツ側がほとんど使ってくれないという……（苦笑）

# おいらも一応証明書だけはもらったけど、一回も使ったこと無い

ドコモ端末のSSL証明書によるクライアント認証機能

[kamiyan (10895)]

電子認証FirstPass [docomo.biz]

ちゃんと運用している上にこのサービス自体は無料で提供してくれるという太っ腹ぶりな割には全然使われてないですよねえ。
結構いけてると思うんだけどなあ。

Re:

[Anonymous Coward]

＞電子認証FirstPass [docomo.biz]

こんな怪しげなドメイン名のサイトをどう信用せよと・・・