ke-tai.org ケータイサイト開発に関わる記事・情報を紹介

フォーラムに複数の方からタレコミをいただきました。
（情報提供ありがとうございます）

ドコモのiモードブラウザ2.0に搭載されているJavaScript機能と、かんたん認証を組み合わせた不正アクセスの方法について話題になっているようなので、ご紹介させていただきます。

まず時系列的にはこちらのエントリーが発端となっているようです。

→　mpw.jp管理人のBlog　iモード専用サイトのhtmlソースの閲覧方法 [mpw.jp]

JavaScriptとDNSの書き換えを使って、IPアドレス制限がかけられたサイトからhtmlソースを抜き出す方法がまとめられています。

こちらの情報をベースに、HASHコンサルティングの徳丸浩さんが報告書の形にまとめたものがこちらです。

→　HASHコンサルティング　セキュリティ情報　iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性 [hash-c.co.jp]

各種ニュースサイトでも取り上げられています。

→　CNET Japan　iモードブラウザ2.0の「かんたん認証」を利用した不正アクセス手法が発見される [japan.cnet.com]

実際の不正アクセス手法は、上記HASHコンサルティングさんのサイト上で図解入りで説明されていますので、そちらを参照されるのがわかりやすいと思います。

通常JavaScriptのXMLHttpRequestは、他ドメインと通信できないようになっていますが、DNS Rebindingを使ってそれを抜けている形のようですね。

コンテンツ開発側としてまず気になるのは対策方法ですが、上記のサイトでは次のような回避方法が記載されています。

• iモードIDをかんたんログインおよびセッション管理に使用しない
• HTTPリクエストヘッダのHOSTフィールドの正当性をチェックする

DNSの書き換えを利用した不正アクセスですので、ホスト名のチェックで対策できるようです。

他にも「VirtualHostを利用し、デフォルトのドメイン領域にはコンテンツを置かない」という方法でも回避できるようです。

また下記のサイトではmod_rewriteを使った対策方法が提案されています。

→　 ぱらめでぃうす　【対策編】iモード専用サイトのhtmlソースの閲覧方法 [parame.mwj.jp]

本件については、あの高木先生も「建設予定地」として準備しており、近いうちに何らかの記事にまとめてきそうな感じになっています。

→　高木浩光＠自宅の日記　ドコモはXMLHttpRequestにiモードIDを載せるのを止めるべきだ [takagi-hiromitsu.jp]

かんたんログイン機能をご利用のサイトを運営中の方は、まずご自身のサイトをチェックしてみてください。

関連：

• ＠ITで開始されたセキュリティに関する連載記事「再考・ケータイWebのセキュリティ」
• 不具合により停止されていたドコモのJavaScript機能が復活するようです
• JavaScriptとかんたんログインのセキュリティについて解説した記事「携帯JavaScriptとXSSの組み合わせによるかんたんログインなりすましの可能性 」