「ドコモ携帯の「かんたんログイン」の脆弱性、「発覚」」記事へのコメント

かんたんIDというのはユーザIDなんだから

[Livingdead (18685)]

かんたんIDというのはあくまで端末からの自己申告によるユーザIDなんだからユーザIDとしての扱いをすれば済む話だと思うんだけどな。逆にそのような前提での使い方をするなら便利なもの。要は使いようだよね。

たとえばこんな使い方なら問題ないのではないだろうか。

１）ユーザがログインページにアクセス
２）クッキーによるセッション確認が出来ない
３）かんたんIDによる確認画面へ
４）登録済みの携帯メールアドレスにワンタイムURLを送信
５）ワンタイムURL経由でセッション開始

--
屍体メモ [windy.cx]

Re:かんたんIDというのはユーザIDなんだから

[jobsa (39063)]

ログインのたびに、わざわざ１つメールを受信して、開いて、URLにアクセスするわけですね。
私が許しても、一般人が許さないでしょう。普通の人(＋ウェブサイト発注者)はセキュリティより利便性重視でしょうし。

もうCookie使えない端末はご遠慮ください。にするのが一番さ。とりあえず、SBとAUはOKぽいし。最大手のドコモのダメさはなんなんでしょう。

Cookie使えない端末用なのでは？

[Livingdead (18685)]

本来かんたんIDというものは
Cookieが使えない端末のためのものでは？
そういう端末の利便性が犠牲になるのはしかたないかと。
セキュリティと利便性はやはりトレードオフになる
部分が出てきて仕方ないと思います。
そりゃ両立できるに越した事ないけど。

--
屍体メモ [windy.cx]

Re:

[Anonymous Coward]

これはJavaScriptが使える(=Cookieが使える)端末の問題ですから、Cookieが使えるなら使って、使えない場合はかんたんIDにフォールバックすると対策になる? 何か穴はないかな?

Re:

[Anonymous Coward]

docomo2.0・・ちがったiモードブラウザ2.0からはcookie使えるそうですよ。
2.0はJavaScriptが使えるのでこの問題が出てきたわけですがね。。。

#JavaScriptによるアクセスは端末固有ID送信しないようにすれば解決しないかね