「ドコモ携帯の「かんたんログイン」の脆弱性、「発覚」」記事へのコメント

かんたんIDというのはユーザIDなんだから

[Livingdead (18685)]

かんたんIDというのはあくまで端末からの自己申告によるユーザIDなんだからユーザIDとしての扱いをすれば済む話だと思うんだけどな。逆にそのような前提での使い方をするなら便利なもの。要は使いようだよね。

たとえばこんな使い方なら問題ないのではないだろうか。

１）ユーザがログインページにアクセス
２）クッキーによるセッション確認が出来ない
３）かんたんIDによる確認画面へ
４）登録済みの携帯メールアドレスにワンタイムURLを送信
５）ワンタイムURL経由でセッション開始

--
屍体メモ [windy.cx]

Re:

[jobsa (39063)]

ログインのたびに、わざわざ１つメールを受信して、開いて、URLにアクセスするわけですね。
私が許しても、一般人が許さないでしょう。普通の人(＋ウェブサイト発注者)はセキュリティより利便性重視でしょうし。

もうCookie使えない端末はご遠慮ください。にするのが一番さ。とりあえず、SBとAUはOKぽいし。最大手のドコモのダメさはなんなんでしょう。

Re:かんたんIDというのはユーザIDなんだから

[Anonymous Coward]

docomo2.0・・ちがったiモードブラウザ2.0からはcookie使えるそうですよ。
2.0はJavaScriptが使えるのでこの問題が出てきたわけですがね。。。

#JavaScriptによるアクセスは端末固有ID送信しないようにすれば解決しないかね