「端末ID」タグアーカイブ

2011-06
15
11:42:45
auのEZWebがそろそろ終了しそうな件

技術ネタ, 時事ネタ, , , ,

先日auからEZWebに関わる以下のようなアナウンスがなされた。
KDDI au: EZfactory

EZブラウザは、2011年秋冬モデルにて、EZサーバを含め、「機能」及び「ネットワーク環境」の見直しを行ないます。
これによる主な変更点は以下のとおりです。

＜主な変更点＞
・EZサーバの言語変換機能が削除され、HDMLが非サポートとなる。
・EZブラウザ、PCサイトビューアーのIPアドレス帯域が統一される。

他にもCookie仕様の変更などがあるのだが注目すべきは、「EZブラウザとPCサイトビューアーのIPアドレス帯域が統一される」という点だ。

以前書いた記事も参照して欲しいのだが、

続:携帯で端末ID詐称は可能かもしれない話
(追記) 続:携帯で端末ID詐称は可能かもしれない話

EZWebつまり日本のケータイECを支えているケータイID(端末ID、サブスクライバーID)は単純に契約者または端末ごとに振られたIDをHTTPヘッダーに載せて通知して、WEBサイト(例えば公式サイトでの決済や課金など)ではこれを元に契約者を特定しているだけなので単にインターネット上で実現するとすぐに偽装や詐称されてしまう。
そこで再掲になるが、auに限らずドコモやソフトバンクでも以下のような脆弱な要件を満たさない限り、ケータイIDが偽装・詐称されずに正しく利用されていることはサイト側(サービスプロバイダー)では見分けが付かない

(1) そのアクセスがそのキャリアの携帯網(IPアドレス帯域)からのみであることをサービスプロバイダーが保証すること
(2) 携帯網ではケータイIDが偽装されていないことをキャリアが保証すること
(3) 端末の自由度を低くしてケータイIDの偽装などの可能性をできるだけ低く保つこと

但しauではEZ番号はゲートウェイで付加されるのではなく端末側から直接送信されているようなので、上記の三原則であれば1と3でしか担保されていない模様だ。

EZ番号を使用したケータイECに対応するのがEZブラウザであり(ドコモであればiモードブラウザ)、PCサイトビューアはEZ番号は発信しない単なるフルブラウザである。
しかし上記条件にあるようにEZブラウザ以外のブラウザやアプリからEZブラウザと同様のIPアドレス帯域に接続でき、かつEZ番号を偽装できるならこの日本独自のケータイECの仕組みは崩壊することになる。
であれば果たしてEZブラウザとPCサイトビューアのIPアドレスが統一された後、PCサイトビューアで偽装が可能になってしまわないのか。

この疑問に早速、徳丸浩氏が実験を行い結果を公表された。

EZwebの2011年秋冬モデル以降の変更内容とセキュリティ上の注意点

上記のように、現状のPCサイトビューアでは、EZ番号が追加できるほか、W52TではUser-Agentも変更できます。2011年秋冬モデルの仕様はわかりませんが、上記と同じ仕様である場合、EZ番号の偽装が可能になります。

 

2011年秋冬モデルでもEZブラウザにJavaScript機能が搭載される予定はないようですが、JavaScript機能があるPCサイトビューアのIPアドレスが統一されることで、結果として、事業者ゲートウェイを経由する端末の中に、JavaScript機能を搭載したものが含まれる状態が生まれます。このため、JavaScriptを悪用した攻撃の可能性が生じてきます。具体的には、JavaScriptによるEZ番号（サブスクライバID）の偽装、DNSリバインディング攻撃などの可能性が生じます。

IPアドレス帯域の統一は7月から、また2011年秋冬モデルからの変更と言うことなので、実際にどうなるかは7月以降の検証を待たなければならない。
しかしもしPCサイトビューアの仕様が大きく変わらないのであれば、EZWebでのあらゆる課金や決済は(たとえ暗証番号があるにせよ)偽装放題と言うことになる。
「でもそもそも他人のEZ番号なんて分からないのでは？」という疑問もあるだろう。しかしEZ番号は端末で「送信する設定」(デフォルト)にしてあれば勝手サイトにであっても常にEZ番号は送信されているのである。
つまり例えば決済や課金など関係ないケータイサイトを運用していても、実はEZ番号は大量にこれまでに入手可能であり、 ユーザー登録の必要なサイトであれば名前や住所などと紐付けられているかも知れないし、そもそも氏名など分からなくとも、ランダムにリスト化されたEZ番号を使って総当たりで詐称攻撃することも可能になるだろう。たとえ暗証番号があるにせよ、また3回間違えるとそのアカウントがロックされるにせよ、最低数百件程度のリストがあれば暗証番号を固定して次々に試せばそのうち幾つかは楽に認証を通ってしまうだろう(これはとてもよく知られた初歩的な攻撃手法に過ぎない)。
知らぬ間に公式サイトで勝手にデジタルコンテンツを大量に買っていたことになっていた・・ということも十分起き得るのである。

率直に言って、何故auがこんな仕様変更を簡単に行ってしまうのか、全く理解できない。そもそもauは、上記のような「脆弱な基盤」に支えられたケータイIDというものを理解していないのではないか。

以前僕はこのようにブログに書いたことがある。

三位一体の原則だ。これが1つでも崩れれば信頼性は崩壊する。
しかしもし上記の推測が正しければ、ことauのEZ番号については(1)と(3)によってのみしか支えられていない。SIMロック解除論議を持ち出すまでもなく、例えばauの携帯網のアクセスポイント情報が明らかになってしまったら。そこにスマートフォンなどで任意のアプリを実行できる端末が接続可能になったら・・・？ 恐らくサービスプロバイダーは偽装を見破る術を持たない。
それが現実になれば、恐慌にも似たケータイECの信用崩壊が起こる可能性が非常に高い。

全ては2011年秋冬モデルの発売を待たなければ本当のところは分からないが、まさしくこの懸念が当たる際にいるのかも知れない。

2011-02
16
20:45:48
続々: 楽天銀行アプリのセキュリティについて – 結局UDID送信は中止しないし使用理由開示も行わない

技術ネタ, , , , , , , ,

前々回、前回の続きをご報告したいと思う。
かなりあれから時間がかかったが、結論としてはシンプルで楽天銀行および楽天CERT・楽天グループとしてはUDIDの送信は停止しないし、また何故送信しているか、どのように利用・管理しているか は「当行不正取引防止システム運営の機密事項」のため一切開示しないとの結論であった。
以下、その詳細。

Continue reading →

2011-01
20
18:52:10
楽天銀行アプリのセキュリティについて

技術ネタ, , , , , ,

まだ曖昧な部分もあるので書くかどうか迷いはしたのだが、一定の結果には至ったので僕自身が持っている疑問の提示と皆さんへの問いかけという意味を込めて書き連ねてみる。

iPhoneアプリに「楽天銀行アプリ」というものがある。名前通り楽天銀行へログインし自身の取引結果や振り込みなどを行えるアプリだ。
僕自身も楽天銀行には口座を持っているので試してみたのだけど、「あれ？」と思わざるを得ない仕様があった。
簡単に説明すると次のような手順でこのアプリは使用する。

Continue reading →

2010-05
23
13:08:37
「ガラパゴス・ケータイ」と呼ばせたくない人々

ガジェット, 時事ネタ, , , ,

時々このネタがTwitterのTLで流れてくるので。
よくスマートフォンに対して、「ガラパゴス・ケータイ」「ガラケー」と従来の日本のケータイを呼ぶべきではない、と主張する人たちに出くわすことがある。曰くその理由は「従来の日本ケータイへの蔑視だ」「語源のガラパゴスは単なる地名なので言葉として相応しくない、失礼だ」などというものだ。
しかしそうした主張に違和感を僕は感じるしそうした人々は本質論が得てして出来ていない。

「ガラパゴス」という言葉がささやかれ出したのはいつ頃からだったか。
僕もはっきりした記憶は無いが恐らく使われ出したのは三年ほど前からだったのではないか。
これもはっきりしないが、僕自身の感触では当時海外製携帯電話を国内に持ち込んで好き好きに弄っていたユーザー層が自分たちで持ち込んだ携帯を様々な制限で自由に利用させない日本の携帯環境と、かなり自由度の高い海外の環境の差にあきれて、外界と途絶したという意味で「ガラパゴス」と呼び出したのが最初ではなかったか。
元々そこには「日本国内で独自に異常進化した」といういい意味は含んでいなかったような気がするが、それは他の人々が語源の意味や「日本の携帯の進化具合は素晴らしい」と考える人々によって 後から追加されたように思う。

「ガラパゴス・ケータイ」や「ガラケー」はそういう意味では自国環境を憂いた自虐的な「蔑称」であろう。しかし何故それを使ってはいけないのか、自己規制・自粛しなければならないのか、さっぱり分からない。
何故ならそれほどまでに日本の携帯環境は非難され問題化されなければならない点を含んでいるからだ。

垂直統合モデルによる業界ぐるみのカルテルとも言える仕組みは競合他社を結果的に排除し競合の参入を阻んでいる。キャリア各社はこうしたモデルの崩壊を恐れ、結果的に自由度が低く競争が発生せず消費者に不便を強いている。
契約者識別IDに代表されるようなセキュリティやプライバシー問題の存在もある。10年の昔の時代遅れの技術が未だに購買モデルという重大な箇所に使用され続け、問題点や脆弱性を常に指摘されながらキャリア各社は頬被りをして問題解決のそぶりさえ見せない。
強制的なSIMロックやアクセスポイントを意識的に隠蔽しユーザーに自由に端末を使わせず全ての利用を自分たちの管理下に置きユーザーの利用の自由を阻害する。
など。

「ガラパゴス・ケータイ」や「ガラケー」とはこうした問題点を明確に言い表すための素晴らしい「発明」であったと今となっては感じている。まさしく如何に日本は多くの海外事情に比べて「異質で消費者を馬鹿にしているか」を示す名ワードである。
そういう思いがあるから僕は 「ガラパゴス・ケータイ」「ガラケー」を積極的に使う立場だ。

一方で「ガラパゴス・ケータイ」や「ガラケー」を使うべきでない、と訴える人々は上記をどう捉えているのだろう。
僕には知る由もないが、仮に問題点を理解せずに「蔑称は使うべきではない」という耳障りのいい話に流されているのだとしたら、ぜひ上記の問題に触れて自分でどうあるべきかもう一度考えてみて欲しい。
ガラパゴスと呼ばれる垂直統合モデルがどんな問題を引き起こしているか、拙作で恐縮だが以前こんなエントリーを上げたことがある。問題の一部かも知れないが概要は理解できるはずだ。
契約者識別IDは利用者のプライバシーを蔑ろにし今日では全く歓迎できるものではないが未だに日本の携帯業界は採用を続けている。海外ではこのような方式はほぼ採用しておらずまさしくガラパゴスな好例である。問題点については(技術的な部分が多いが)高木浩光氏の有名なエントリーに詳しい。
SIMロックやアクセスポイントの問題については数多くの問題点を指摘したエントリーがネット上にはあるので検索して欲しいが、拙作ではアクセスポイントについてこのようなエントリーを上げたことがある。

問題は上記を知りつつそれを隠し、本質を見せないようにしつつ言葉狩りに走っている人々だ。
それが誰なのか、とは言わない。しかし昨今の議論の中ではこうした問題点には全く触れずただ言葉狩りを訴えているだけに見える人も多くみかける。
それがキャリアやメーカーの人間であればある程度の理解は出来る。自分たちの立場も踏まえた上での発言であれば、ある程度のポジショントークもやむを得ない面はあるだろう(それでも健全に素直な議論をお願いしたいものだが)。
しかし一部のライターと呼ばれたり自称”ジャーナリスト”な人々についてはどうだろう。
上記のような論点を知らないのだとすれば全く持って勉強不足だし、キャリアやメーカーにおもねて「言葉狩り」に走るのだとしたら論外だ。

我々消費者としては言葉狩りに惑わされる必要はない。言葉は生き物だしここまで広まった言葉を否定する必要もない。「それが失礼だ」というのなら、何が何に対して失礼なのだろうか。消費者がキャリアやメーカーに何を気を遣う必然性があるのか。消費者とは独善的なまでに消費のための要求を行うべきなのだ。
それよりもぜひ気を付けて欲しい。本質に気付かれたくない人たちは常にいつの時代でもこうした些細な問題に目を向けさせ本質論を阻もうとすることに。
小さな問題に気を取られてより大きな問題を見誤ってはいけないことに。

2010-04
13
04:41:50
(追記) 続:携帯で端末ID詐称は可能かもしれない話

ガジェット, 技術ネタ, , , ,

前回の記事について。
不用意な不安を煽るのが目的ではないので(理解できている人はできていると思うのだけど)念のため追記しておく。
では今現在auのEZ番号について差し迫った脆弱性や危険性があるのかと言えばこれはNOだと信じている。
上記を実現するためには、auの携帯網に対してスマートフォン(に限らないけど)のように任意のアプリを作成して実行できる環境を用意する必要がある。しかしこれは少なくとも現在ではかなり敷居が高い。
まず携帯網とはつまり現在の「ガラケー」を接続しているアクセスポイントから接続されるキャリア内ネットワークである。アクセスポイントについては以前の記事を参照して欲しいが、現時点ではアクセスポイント名やユーザー名、パスワードなど接続に必要になる情報は公開されていない。つまり何らかの方法でこれを入手する必要があるが僕の知る限りまだこれら情報の流出はない。
スマートフォン網であれば近々提供されるIS-NETで公開されてある程度自由に使用できるのではと思うのだが、「ちゃんとセキュリティを考慮している」サービスプロバイダーでは携帯網からのアクセスのみを許可しこの場合のみEZ番号を使用するはずなので、携帯網に接続できなければいけないことになる。
また au環境で自由に接続可能なスマートフォンや携帯端末を入手するのも難儀だ。ご承知の通りauはCDMA2000という世界的にもマイナーな方式を採用しておりまた上がりと下りで海外とは逆の周波数帯を利用している。まさしくauオンリーワンな環境となっている。従って海外のCDMA2000に対応したSIMフリー機を買ってきてそのまま使えるわけでもない。最近発表されたAndroid/WindowsMobile機のISシリーズはシャープがau向けに独自に開発したのも恐らくこうした事情から海外調達が実質的に不可能だったためだろう。
その他、例えばBREWは公式アプリしか認められていない(勝手アプリが可能ならEZ番号を詐称するのも簡単になる)とか、SIMロックもユーザーロックと呼ばれるショップで登録しないと使用できない(勝手な端末を接続させない、端末とEZ番号の紐付けを厳密に行う)とか、EZ番号は初回接続時にゲートウェイからダウンロードして決定される(これも端末管理を厳密に行いたいためだろう)など、上記を補強するためであろう施策が見受けられる。

という状況があるので必ずしも切迫した状況が放置されているわけではないと思う。しかしその一方で当然にしてこれらのうち何かが偶然であろうと必然であろうと綻びた瞬間一瞬にして脆弱な状況が生まれ得ることも冷静に理解しておくべきである。

そもそも論として、ユーザーのセキュリティに関わる問題なのだから本来は「何故携帯網は安全なのか」「どのような状況においてどのようなリスクがあるのか」各キャリアは率先して消費者に対して説明すべきだ。それをNDAなどを振りかざして情報統制することで安全を守っていると思っているのなら、思い上がりも甚だしい。本当に安全だというのならきちんと論理立てて説明可能でなければ、常に脆弱性やリスクがつきまとっていると考えるのがセキュリティ上の基本である。
SIMロック解除論議もいいけど、こういう消費者保護のための説明責任こそ法律やガイドラインで強制すべき段階に来ているのではないかなあ。