水無月ばけらのえび日記

bakera.jp > 水無月ばけらのえび日記 > 電波チェッカーの脆弱性

電波チェッカーの脆弱性

2010年6月12日(土曜日)

電波チェッカーの脆弱性

公開: 2010年6月14日23時40分頃

ソフトバンクのiPhone用アプリ「電波チェッカー (mb.softbank.jp)」に関して、こんなお話が。

言うまでもありませんが、これは、最近議論されているケータイサイトのセキュリティ問題に関連する話です。実際に多数のサービスに問題が発見されている状況があり、電波チェッカーはそれと同じことをしているように見える……という話の流れがあります。togetterのコメントを見ていると、流れを知っている人とそうでない人とで、かなりの温度差が見られますね。

まあ、当事者にも温度差はありそうですけれど。

UDIDは個人情報と結びつかない?

UDIDは個人情報に紐つくものではありません。

以上、https://twitter.com/miyakawa11/status/15935043947 より

電波チェッカーでは、利用者が登録した位置情報とUUIDとが結びつけられており、そのために「UUIDを知られると、登録した位置情報を取得されてしまう」という点が問題になっていました。

氏名等を取得してUDIDと結びつけることも、やろうと思えばできてしまいます。UDIDを取得するアプリケーションの利用時には、迂闊に個人情報を入れたりしないように注意する必要があるでしょう。

また、アプリケーションの提供者は、UDIDを何に利用しているのか明確にすべきでしょう。

パスワードを知られるのと同じ?

行った行為は、 自身のiPhoneのUDIDを知人のiPhoneにセットして行った?通常のIDとパスワードを知人に教えてログインできるかを試しているのと同じですね。

以上、https://twitter.com/miyakawa11/status/15934378849 より

UDIDは端末ごとに固定のものであり、どのサービスに対しても同一の値が送出されます。つまり、秘密情報ではありません。あるサービスのパスワードを別のサービス運営者に知られるようなことはありませんが (ないはずですが)、UDIDは、もとより他のサービスにも取得され得るものです。そして、知られても変更することはできません。

※Twitterのパスワードを別のサイトで入力する、なんてことは誰もしないはずです。本来は。

また、UDIDは人ではなく端末と結びついていて、端末を他人に譲渡しても変更されません。電波チェッカーを削除して端末を譲渡した場合、新しい持ち主が電波チェッカーを入れると、前の持ち主の情報が表示されてしまうことになります。これもパスワードにはない特徴ですね。

UDIDを詐称するのは難しい?

別の端末のUDIDを組み込むこと、皆さん簡単そうだと誤解されちゃってます。OSレベルのクラックを行ったのですかね?Takagiさんのようなレベルの方なら可能?

以上、http://twitter.com/miyakawa11/status/15938951825 より

これは良く分かりませんが、高木さんは既存のソフトウェアだけで可能 (twitter.com)と言われていますね。

そもそも、UDIDは端末側が送っているのであって、ゲートウェイで強制的に付加しているわけではないはずです。となれば、任意のUDIDを送出するアプリケーションを作ることができる可能性はあるでしょう (未確認)。また、通信がHTTPSでなければ、通信途中で改変するという方法も考えられます (やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 (takagi-hiromitsu.jp))。

いずれにしても、UDIDを詐称することが不可能、という前提で考えることは難しいのではないかと思います。

ともあれ、既にソフトバンク側では暫定対応が行われているようで (http://twitter.com/miyakawa11/status/15967750439 (twitter.com))、素早い対応は評価したいですね。

関連する話題: セキュリティ / モバイル / Apple

人気のページ

最近の日記

関わった本など

デザイニングWebアクセシビリティ - アクセシブルな設計やコンテンツ制作のアプローチコーディングWebアクセシビリティ - WAI-ARIAで実現するマルチデバイス環境のWebアプリケーション体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践ウェブの仕事力が上がる標準ガイドブック 5 WebプログラミングWeb Site Expert #13Dreamweaver プロフェッショナル・スタイル [CS3対応] (Style for professional)友井町バスターズ (富士見ファンタジア文庫)

その他サイト