ke-tai.org ケータイサイト開発に関わる記事・情報を紹介

昨日に続きセキュリティ関連の話題です。

下記のブログ記事が大変面白く、参考になる良エントリーでしたのでご紹介させていただきます。

→　徳丸浩の日記　携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 [www.tokumaru.org]

今年の5月にドコモから発売されたJavaScript対応端末ですが、販売開始後すぐにソフトウェアアップデートによりJavaScript機能が停止されてしまいました。

上記エントリーでは、この停止の原因となった脆弱性について仮説を立てて検証しています。

詳しい内容は上記ブログを読んでいただくとして、概要としては、XMLHttpRequestのsetRequestHeaderメソッドとXSS脆弱性とを組み合わせて、ユーザエージェントやiモードIDなどのリクエストヘッダを改ざんし、かんたんログインのなりすましを行うことができたのではないか、というものとなっています。

iモードIDは、ドコモサーバ側で付与されるヘッダ情報「X-DCMGUID」から取得します。
通常この情報はケータイ上からは改ざんできませんし、もし万が一改ざんできたとしてもドコモのサーバ側で上書きされるはずです。（現状改ざんできないので実際に試したわけではないですが）

もちろんPCからのアクセスであれば、容易にIDを騙ることができますが、通常ケータイサイトでは、Firewallや.htaccessなどによるIPアドレス帯域による制限を行うため、ケータイ以外からはアクセスできません。

しかしながら、ドコモ以外のキャリアを名乗ることによって、サーバ側で上書きされないX-UP-SUBNOやX-JPHONE-UIDを変更し、かんたんログインを突破できたのではないか、という仮説となっています。

ドコモからは、販売停止やJavaScript機能の停止の理由は公表されていないため、あくまで仮説ではあるものの、かなり興味深い内容ですね。

他にもソフトバンクに関しては、昨日ご紹介した記事「SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ [d.hatena.ne.jp]」で示されたような、かんたんログイン機能への脅威についても言及しています。

よく「かんたんログインは使うな」「かんたんログインの利用を推奨するような記事を書くな」というご意見をいただくことがあります。

もちろんごもっともな意見ではあるのですが、セキュリティと利便性は裏表な部分もあり、キャリアが代替手段を出すまでは、サイトの内容やクライアントの意向によっては導入せざるを得ない場合も多々あると思います。

我々に出来ることは、できる限り正しい情報を把握し、より安全に使える保険を一つ一つ積み重ねていくことが大事なのではないかと思っています。

セキュリティに関する記事の場合は特に、はてなブックマーク上からの突っ込みコメントが多くなる傾向があります。

ご指摘いただいた内容に関しては、可能な限り再チェックし、記事に不適切な部分があるのであれば修正していきたいと思っています。

突っ込みをいただく場合は、出来ればはてなブックマークからのコメントだけではなく、コメント欄やフォーラムもご利用いただけると、内容の確認が行いやすく助かります。
ぜひご協力をお願いいたします。

関連：

• ソフトバンクの携帯用GatewayをPCで通る方法があるようです
• 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました
• ケータイの認証用IDの現状をまとめたブログ記事「携帯各キャリアの固有IDについて (全キャリア対応)」

mogyaさんからのタレコミです。
（情報提供ありがとうございます）

ソフトバンクの携帯用ゲートウェイを、PC経由で通る方法があるとのことです。

扱う情報にもよりますが、ケータイサイトではIPアドレス帯域を制限して、ケータイからのアクセスのみを許可するのが一般的です。
これが可能なのであれば色々と問題がありますね。

→　Perlとかmemoとか日記とか。　SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ [d.hatena.ne.jp]

ソフトバンクのゲートウェイをPCから通過する方法としては次の2つが挙げられています。

1. SIMUnlock済みのiPhoneを使う方法
2. ソフトバンクのケータイをUSB接続しダイアルアップする方法

1の方法はまあ良いとしても、2の方法はごく単純な方法ですね。
なぜ対策が取られていないのでしょうか？

これらの方法をつかえば、例えばケータイからのみしかアクセスできないサイトにアクセスし、HTMLソースを見てデザインの参考にする、といったことが可能になります。

悪用方法としては、待ち受け画像などにアクセスしてPC上から保存してしまう（これが可能かどうかはプログラム側の作りにもよりますが）、他人の端末ID（製造番号）を騙ってログインしてしまう、などが考えられます。

ただ、契約ユーザID（x-jphone-uid）のヘッダ情報はネットワーク側で付与されるので、こちらは偽装が不可能とのことです。
（※実際に検証したわけではありません。もし試した方がいましたら結果を教えてください。）

※追記　フォーラムから次のような報告がありました
試してみたのですが、実際にSBのIPでパソコンから接続することが出来ました。
FireMobileSimulatorで指定してみたのですが、偽装出来ませんでした。

機種変を行っても変わらないなどのメリットもあることから、多くのサービスが契約ユーザIDを利用していると思いますが、もし端末ID（製造番号）で認証を行っているという方は注意が必要だと思われます。

あとは他キャリアはどのような状況になっているのかも気になるところですね。
もし情報をお持ちの方がいましたら教えてください。

関連：

• 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました
• 2009年7月24日付けでソフトバンク(Yahoo!ケータイ)のIPアドレス帯域に変更があったようです
• ケータイの認証用IDの現状をまとめたブログ記事「携帯各キャリアの固有IDについて (全キャリア対応)」

月初め恒例の人気エントリーまとめです。

7月に1番人気のあったエントリーは「かんたんログインのサンプル」でした。
やはりサンプルものは評判が良いようですね。
また時間があるときにでも、別のものも公開してみようと思います。

1:
実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました　

2:
低価格なケータイ向けSSL証明書サービス「SSLモバイル」　

3:
ブックレビュー： Flash Liteで作る携帯コンテンツ実践教科書　

4:
ケータイ業界の動向がわかる資料　総務省の「モバイルコンテンツの産業構造実態に関する調査結果」　

5:
PC上でCDやUSBからAndroidをブートできる「Live Android」を試してみました　

関連：

• 2009年6月の人気エントリーまとめ
• 2009年5月の人気エントリーまとめ
• 2009年4月の人気エントリーまとめ

※ご注意※

この記事は執筆した時点から比べると、セキュリティを巡る情勢が大きく変わり、現時点では不適切な内容となってしまいましたので削除いたしました。

かんたんログインの実装については、次の記事が参考になります。

→　@IT　再考ケータイWebのセキュリティ　第2回 間違いだらけの「かんたんログイン」実装法 [atmarkit.co.jp]

関連：

• ケータイのユーザIDを通知・非通知設定するためのURLまとめ
• ケータイの端末ID・ユーザIDの取得についてまとめてみました（サンプルプログラム編）
• PHPでケータイからセッションを使う場合の設定方法

donさんからのタレコミです。
（情報提供ありがとうございます）

Apacheモジュールによるケータイコンテンツの自動変換機能がついたレンタルサーバサービスが登場したようです。

→　LaIT レンタルサーバ webrex – 独自ドメインによるWeb＆メールホスティング（共有レンタルサーバ） [la-it.jp]

LaITは7/29から受付を開始したWebホスティングサービスで、2000円/月～の最下位プランでも携帯向けのコンテンツ変換機能が利用できるとのことです。

コンテンツの変換には、Apacheモジュール型の変換エンジンroundabout [symmetric.co.jp]を使っているとのことです。

携帯コンテンツ変換機能には、XHTMLやCSS展開、絵文字変換などを行ってくれる無料機能と、画像変換や端末グルーピングなどの有料機能があり、無料機能はどのプランでも0円で利用できますが、有料機能を使う場合には月額20,000円が別途必要になります。

また、Apacheモジュール型の変換エンジンですので、PHPなどと組み合わせて使うことも可能とのことです。

JPGとGIFをメインで使って画像サイズも固定でよければ、画像変換機能は特になくても大丈夫そうですし、月額2,000円でこの機能が使えるのはお得ですね。
IIJというのも安心感があります。

ケータイサイトのホスティング先を検討中の方は、候補に入れてみてはいかがでしょうか。

関連：

• 処理が高速なPHP絵文字変換ライブラリ「HTML_Emoji」
• ケータイ用Apacheモジュールの「mod_chxj」がバージョンアップ – 機種情報やカナ変換をサポート
• ケータイ向けに画像を変換してくれる無償のApacheモジュール「mod_ktai_image」がリリースされました