http://www.itmedia.co.jp/news/articles/1010/25/news044.html
ヤマト運輸のケータイサイトの「クイックログイン」に問題が。「PCでは見えないはず」に頼ったサイトの危険性があらわになった。
さすがに、ITMediaは、分かっている人が、詳しく書いてくれている。。
PCでは見えないはずに頼った危険性について書かれています。
問題となったのは、ログインID／パスワードを入力せずに認証を行う「クイックログイン機能」（かんたんログインと表記するサイトもある）。多くの携帯電話向けサイトで実装されているこの機能は、携帯電話端末が持つ「契約者固有ID」を利用している。Webサイトにアクセスする際に、このIDをWebサーバに送信するので、携帯電話向けサイトではこのIDをもとにユーザーを認証できる。契約者固有IDは携帯電話ごとに固定されているため、通常、携帯端末上では変更できない。
契約者固有ID。。。携帯IDとも、呼ばれているやつですね。
これ、危険なんですよ。。何故かというと、携帯が、常に同じ番号を、サイトに対して、送信するので、
何番の人が、何回来たとか、全部分かってしまうんです。＼(^o^)／
どこかで、その情報を集めるようにしてしまうと、あら不思議、番号ごとに、アクセス履歴とか、丸わかりんぐですよ。。＼(^o^)／
それだけでは、個人を特定することは出来ないけど。。プライバシー上問題がありますよね。(´・ω・｀)
あ、でも、サイトで、メールアドレスを登録していたりすると。。。Σ(ﾟдﾟlll)ｶﾞｰﾝ
PCなどから携帯向けWebサイトにアクセスする場合、通信のヘッダを書き換えることで任意のIDを送信できる。クイックログイン機能を提供するには、携帯電話端末からのアクセスを前提とし、携帯キャリアのIPアドレス範囲に限定するなどの防御が必要だが、これだけではなりすましを完全に排除できないとされている。
結局、携帯キャリアのIPアドレスを限定しないといけないのが、穴があったから？
でも、それだけでは無理でしょ。。
しかし、そうなってくると、携帯IDを使った、他サイトも、同様の危険性があるかも知れないわけですか。。
