アカウント名:
パスワード:
Kinoppyのサーバー側に支払いを行ったとの虚偽の情報を送信することで認証を成功させるという手法
この部分の具体的な手法が気になります。課金チェックをすり抜けて直接ダウンロードできた、ということなのか、架空の課金データを入力されて課金済の状態になっていたのか？
もし画期的な手法なんだとすれば、セキュリティ対策考えておかないと。
もしかしたら課金成功時のパケットが決まっていたとかだとしたら致命的ですがどうなんだろうね。こういうのは認証機関経由でやったりするもんなので、認証機関側とkinoppi側のデータの保持構造とかにも問題ありそうな気がしないでもない。
AppleStore を通して(ゲーム内通貨などを)購入をした場合、レシートと呼ばれるデータが送られてきます。このレシートデータを Apple が用意してある API を使って確認すると、そのレシートが正しいかどうかの確認が出来ます。Apple 推奨の方法ではサーバでこのデータを確認して処理するように推奨しています。(この方法であれば今回のような不正ダウンロードはほぼ不可能)
で、世の中にはこのレシートデータを模倣して(ゲーム内通貨等を)購入してしまおうとするツールも存在します。iOS 版は Kinoppy はどのような処理をしていたのかわからないので正解はわかりませんが、今回のツールはこの例かなぁ、という気がします。
そもそも AppleStore 経由の決済じゃなければ今回の例は全くの的外れですが(^^ゞ
日経>紀伊国屋書店はセキュリティーを強化しており、現在は不正アプリを使った決済はできなくなっているという。
なんかサーバ間確認せずに、アプリから送られてきたレシートを無条件(?)信用してたっぽい気がする。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
弘法筆を選ばず、アレゲはキーボードを選ぶ -- アレゲ研究家
具体的な手法が気になります (スコア:0)
この部分の具体的な手法が気になります。
課金チェックをすり抜けて直接ダウンロードできた、ということなのか、
架空の課金データを入力されて課金済の状態になっていたのか？
もし画期的な手法なんだとすれば、セキュリティ対策考えておかないと。
Re: (スコア:3)
もしかしたら課金成功時のパケットが決まっていたとかだとしたら致命的ですがどうなんだろうね。
こういうのは認証機関経由でやったりするもんなので、認証機関側とkinoppi側のデータの保持構造とかにも問題ありそうな気がしないでもない。
Re:具体的な手法が気になります (スコア:5, 参考になる)
AppleStore を通して(ゲーム内通貨などを)購入をした場合、レシートと呼ばれるデータが送られてきます。
このレシートデータを Apple が用意してある API を使って確認すると、そのレシートが正しいかどうかの確認が出来ます。
Apple 推奨の方法ではサーバでこのデータを確認して処理するように推奨しています。
(この方法であれば今回のような不正ダウンロードはほぼ不可能)
で、世の中にはこのレシートデータを模倣して(ゲーム内通貨等を)購入してしまおうとするツールも存在します。
iOS 版は Kinoppy はどのような処理をしていたのかわからないので正解はわかりませんが、今回のツールはこの例かなぁ、という気がします。
そもそも AppleStore 経由の決済じゃなければ今回の例は全くの的外れですが(^^ゞ
Re: (スコア:0)
日経
>紀伊国屋書店はセキュリティーを強化しており、現在は不正アプリを使った決済はできなくなっているという。
なんかサーバ間確認せずに、アプリから送られてきたレシートを無条件(?)信用してたっぽい気がする。