アカウント名:
パスワード:
別にアプリに存在した脆弱性を突いたってわけじゃないんだよな？なんでわざわざアプリからのログインだったのだろう。ウェブのが簡単では。
このアプリって指紋認証とかついているんですけど、指紋登録前の初回だとセキュリティが弱かったとか？
たぶん、攻撃者はアプリを介さずに、アプリ用サーバーに直接アクセスしたのではないか？指紋認証はあくまで端末上での認証にしか使ってなくて、FIDOに準じた作りとかにしていない残念な作りなのだろう。PCだとパズル認証があるけれど、アプリ用サーバーにはなくて狙われたのかも（アプリ使ってないから憶測）。
せっかくアプリにするなら、FIDO(に準じる/認定は受けなくても)とか、クライアント証明書使うとかして欲しかった…。
そういえばパズル認証って異様に自動化に向いてるように見えるけど、あれは何を見てるの?動きが人間っぽいかどうか?
Webはロボ回避がある
日本の大企業のアプリってほとんどがただのWebViewでウェブ開いてるだけじゃないっけ・・・アプリ向けのログインページを使ったってだけじゃないかな。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人
よくわからん (スコア:0)
別にアプリに存在した脆弱性を突いたってわけじゃないんだよな？
なんでわざわざアプリからのログインだったのだろう。ウェブのが簡単では。
Re: (スコア:0)
このアプリって指紋認証とかついているんですけど、指紋登録前の初回だとセキュリティが弱かったとか？
Re:よくわからん (スコア:2, 参考になる)
たぶん、攻撃者はアプリを介さずに、アプリ用サーバーに直接アクセスしたのではないか？
指紋認証はあくまで端末上での認証にしか使ってなくて、FIDOに準じた作りとかにしていない残念な作りなのだろう。
PCだとパズル認証があるけれど、アプリ用サーバーにはなくて狙われたのかも（アプリ使ってないから憶測）。
せっかくアプリにするなら、FIDO(に準じる/認定は受けなくても)とか、クライアント証明書使うとかして欲しかった…。
Re: (スコア:0)
そういえばパズル認証って異様に自動化に向いてるように見えるけど、あれは何を見てるの?
動きが人間っぽいかどうか?
Re: (スコア:0)
Webはロボ回避がある
Re: (スコア:0)
日本の大企業のアプリってほとんどがただのWebViewでウェブ開いてるだけじゃないっけ・・・
アプリ向けのログインページを使ったってだけじゃないかな。