Togetter - 「WASForumまとめ」

本日WASForum Conference2010、いいお天気です。よろしくお願いします。 #wasf

ダブって午前に入れてしまったタスクをほぼ消化。後片付けして WASForum へ向かおう。現地入は 11:00 くらいかしらん ;_; #wasf

配布物一覧。講演資料は無い。http://tweetphoto.com/23390982 #wasf

椅子もそこそこ座り心地のあるやつで机があって一人分のスペースも十分に余裕がある感じ。コクヨホール、ここはいいなぁ。 #wasf

学生ですが参加させて頂きます。 会場内で待機中です。よろしくお願いいたします。 #wasf

WASF、受付に国分さんの姿を見かけたけど、なぜかチアリーダーの格好をしていなかった。＠＠；

きた@コクヨホール #wasf

それは日曜日では？ RT @ymzkei5 WASF、受付に国分さんの姿を見かけたけど、なぜかチアリーダーの格好をしていなかった。＠＠；

WASForum カンファレンス会場です。あと10分ちょっとで開会。人の入りは6割くらいでしょうか。 #wasf

電源確保しましたが・・・必要なさそうなのでずれることにします #wasf

うわ、せっかく電源取れるのにAC忘れてやんの #wasf

コクヨホールひさびさかな。そういえば、そろそろ迷惑メール対策カンファレンスも開催されてもいい頃合な気が。 #wasf

それは明日じゃないの？ｗ RT @ymzkei5: WASF、受付に国分さんの姿を見かけたけど、なぜかチアリーダーの格好をしていなかった。＠＠；

WASF開始もすぐだ

はじまた #wasf

門林先生のご講演が始まった #wasf

始まりました。 #wasf

今日はWASFに静岡ITPro勉強会に日比谷オクトーバーフェストとイベント重なってるなぁー

最近の Web ブラウザ　=　デコトラ?　#wasf

Webブラウザを乗り物に例えたご説明なう デコトラ・・・wwww #wasf

最近のブラウザはデコトラ・・・ウけてます。 #wasf

WASF始まった

そもそも「上手いユーザ」をセキュリティーを知っている人と定義するなら、私はデコトラを使う危険ユーザです••• #wasf

コクヨホール！当日券もあるらしい！ RT @WASForum: 本日WASForum Conference2010、いいお天気です。よろしくお願いします。 #wasf

OnMouseOver=game.over #wasf

@tzmzk さん登壇。#wasf

誰かのアラートが鳴ってる・・・　#wasf

次は「国民のためのウェブサイトを運営するID認証の舞台裏」 #wasf

Yahooのかた始まります #wasf

今日のテーマは今までWASFが扱ってこなかったユーザー・クライアント側のセキュリティのうち、ID・パスワード系の話が今回のテーマ。 #wasf

ほら、Y!でも755万回/日の認証なのに、顧客要件それ超えてるし、むちゃだな。#wasf

大盛況のうちにはじまっております。皆様、早い集合、ありがとうございます。 #wasf

Yahoo Japan 一日の総ログイン回数が775万回、うち失敗するのが77万回(9.6%)。 #wasf

ログインエラー77万回/日#wasf

BBAuthをひいちゃうと、2%ぐらいがOpenID/OAuthの認証。つーことは、1万回ちょいぐらいか。#wasf

Ｙ！のサービスにおけるセッションの細則が公開されれば、世の中のためになりそうだ#wasf

Yahoo Japanのログイン試行数は775万/日。うち失敗するのはその内の9.6%。 #wasf

来週水曜まで関西出張。WASFもMAKEも行けません。

Yahoo!ってこんなにサービス数多いのか。これはびっくり。 #wasf

実況助かる〜 #wasf

認証のうちパスワード再認証の比率が15.72%というのは意外に多い。 #wasf

焦ってる　#wasf

「高木さんが来てるかな」「きてるきてる」とかで笑えるといういい雰囲気のコンファレンスです。 #wasf

教育機関向け認証なんてあるのか！Y！#wasf

「きっずIDはことばがやさしい」 #wasf

きっず用は文言をやさしめに。#wasf

Yahoo! きっずIDでログインすると「Yahoo! きっず」しか見えないようにコントロールしてたりするらしい #wasf

激しくワロタw RT @WASForum: 「高木さんが来てるかな」「きてるきてる」とかで笑えるといういい雰囲気のコンファレンスです。 #wasf

「パスワード再確認」のベストプラクティスってあるのかな？ 「重要な情報の前には再確認しましょう」しかないような気もしているけど。。。 #wasf

今回のWASFカンファレンスでは「携帯ID認証」は危険ワードですか?w #wasf

ログイン３兄弟＝ログイン履歴＋ログインアラート＋ログインシール #wasf

ログイン履歴・ログインアラート・ログインシール #wasf

ログイン三兄弟。ログイン履歴、ログインシール、ログインアラート。個人的にはログインシールはセキュリティーに対して殆ど効果がないと思いますが。#wasf

Y!のログイン履歴機能を初めて知った #wasf

ログイン3兄弟w #wasf

@mikiT_T コクヨホールで、Web Application Security Forum(通称WASForum) 開催中です。http://wasforum.jp/ #wasf 有料だけど、満員御礼らしいですよ。 後援したので、午後に顔だす予定。

ログインシールって初めて知った #wasf

ログインシールは良いアイデアだと思うんだけど、他のサービス事業者が追従しないのはなぜなんだろう？ 追従しているところを知らないだけかも知れないけど。 #wasf

ログイン三兄弟の利用率が上がらないのは、明らかに導線が悪いからということですね。 #wasf

ログインアラート先のメールアドレスを変更されたらどうなるの #wasf

ログイン履歴・ログインシールは知ってたけどアラートの内容は今回初めて知った。 #wasf

Y! のログインシールは使ってるけどログイン履歴は存在自体知らなかった #wasf

Y! トップ右上の「無料ID活用」→左下の「セキュリティ対策」で設定できる #wasf

図から伏字を読み取るというソーシャルハック　#wasf

ログイン三兄弟。ログイン履歴、ログインシール、ログインアラート。個人的にはログインシールはセキュリティーに対して殆ど効果がないと思いますが。 #wasf

Yahoo Japan のログインシールって、フィッシングサイトでproxyされたら意味ないよね? HTMLをコピペした単純なフィッシングのみで有効? #wasf

利用率：選択式だと増えない。 #wasf OptIn じゃなくて、Opt Out にしたら良いのじゃないかなぁ。

ログイン履歴 シールは知ってるが、アラートは知らなかった #wasf

Y!もそのうちリスクベース認証。銀行はよく使ってますね。 #wasf

Yahooのログインアラート設定してみるか #wasf

手元資料がないのでまとめにくいなぁ #wasf

Mozilla Japanさんがくださったノートをご活用ください #wasf

@koyhoge いいえ。cookieで管理されているので。cookieが発行されたドメインにアクセスしたときにしか、シールは正しく表示されません。#wasf

ヤフー松岡さん、なんかいろいろ話しちゃってますね。 #wasf

「書いたことを忘れたので思い出しつつ話す」w #wasf

@koyhoge あのログインシールは Cookie を使って実現していたはずです #wasf

@hagino3000 よかった！やっぱデスクあると快適ですよね #wasf

@koyhoge ただし、いつもと違うPCを使ったときやOSを再インストールした後などシールが出ないときに、シールの再設定をするわけですが、シール再設定画面が出たときに、偽サイトでないかの確認を怠るユーザは救えません。#wasf

Y!プロフィールをOpenID AXで出す。でも、ニックネームが"*"でマスクされるルールが分からないので、いまいちRPとしては使いにくい #wasf

確かに OpenID でもいいんだけど，何らかの仕組みを使って Web 上で公開するプロフィールを一元管理したい #wasf

さすがに EMobile 不安定になって来たな。会場内で何回線接続してるんだろう? #wasf

@HiromitsuTakagi なるほど、ということはブラウザごとに設定する必要があるわけですね。理解しました。 #wasf

Ｙ！のDBは大きく2分割。内部＋ビジネスパートナー向けのUser DBと、外部公開用のSocial DB #wasf

ユーザー登録で必要な項目で、公開/非公開 とだけ書かれても不安なんだよなぁ。「非公開」の範囲がわかりにくくて。そこら辺の説明をわかりやすくしないと、というのをつくる際に今まであまり意識してこなかったなぁ。 #wasf

UserDB と SocialDB とで分けてしまうのか。 #wasf

HHK持ち込んでる人がいる。面白。 #wasf

急遽、手書きタイムキーパーが登場しました #wasf

Y!のユーザ情報レベルは3つ。ユーザ同意のもと出せるもの、ユーザ同意で渡せるけど、特定と審査が必要なもの、絶対出さないもの。真ん中が分かりにくいが、定義を見損ねた！ #wasf

「各企業の独自判断でなく、皆で共有できるルールが必要とされている」→プライバシーマークってあったよね... #wasf

OAuthの話って午後あったっけ。 #wasf

JanRainのRPXの話。簡単簡単いっても、やっぱりOpenIDもOAuthも難しいという感触があるとのこと。 #wasf

@man5e ありますよ。14:30（予定）からのですね。 #wasf

WASFなう。高木先生がスライドを編集してるところを目撃ｗ

@man5e 14:30〜「OAuthとWEBサイト運営のエコシステムに潜む罠」が。 #wasf

次は@_natさん #wasf

RPX便利そうだなー https://rpxnow.com/ #wasf

「OpenIDのモバイル対応～認証基盤連携フォーラムの取り組み他から」 #wasf

Digital Identityの監査の枠組みを考えましょうな、非営利団体OIX #wasf

OASIS Open Reputation Management Systems (ORMS) Technical Committee http://bit.ly/bo9MSo #wasf

Digital Identity(やらIDやら認証やら属性やら)の定義はPhill WindleyのDigital Identityを読むべしとな。 #wasf

OpenID の"ID"はidentity. 識別子ではない。 #wasf

前に座ってる人の画面にこのアイコンが一瞬表示されてワロタｗ #wasf

住所、電話番号、メールアドレスなどは識別子 identifier. Wii でいうところの mii は、Wii 内でのみ生きられる。これを Open にしたようなもの 、いわば "Open mii" ＝ OpenID. #wasf

同意、認証局と言う言葉を日本から消し去りたい。Certification Authorityですね。なんでも認証iPad米国版も電波法の問題も技術適合認証。認証という単語は曖昧に使われてる。 #wasf

認証基盤連携フォーラムの話。 #wasf

WASForum、楽しすぎる。#wasf

. @mineyoshi #wasf タグで来場者の様子は垣間見られます。

通信プラットフォームのあり方。Distribution&Federation, UserCentric,HighAvailability, Relyability&Reputation #wasf

OpenIDの基本モデル。idプロバイダーからidentifierのうち必要な一部を取りだしてサービスプロバイダーからの照会要求に応える。 #wasf

クロスプラットフォーム、クロス事業者を実現する。#wasf

OpenIDとSAMLの相互運用気になるなぁ。でも今日のネタからはハズレているらしい。 #wasf

総務省の認証基盤連携実証実験。目的はユーザーセントリックIDの実現。2009年度はidP間のポータビリティ検討やモバイル適用検討などを行った。 #wasf

ガラケーでの OpenID の実験。GET URL が長すぎて使えないとか。 #wasf

ガラケーはGET URLが長いだけでリクエストも送れなくなる。#wasf

ガラケーでのOpenID利用の課題→URL(GET)が長い　#wasf

OpenIDのダンスってカッコイイ #wasf

利用したくないとまったく利用したくないの違いがわからないだけだったり。。。#wasf

OpenIDの属性連携サービス実験後のアンケート。非常に利用したい53%/利用したい41%/利用したくない3%/全く利用したくない0%/わからない3%。一方的結果すぎて驚いたとか。 #wasf

Level of Assurance認定の話。OIX、監査、民間がやります。ガイドラインに沿ってやりますよー。米国政府はOpenIDの受入れ開始、日本の法制度には合致できるのかな。 #wasf

10分前くらいにコクヨホール。途中から聴いてる。 #wasf

OpenID for Mobile (Artifact Binding)の話。要は、ガラケーは長いQueryStringツライので、ガラケーには短い何かを見せて、長いのはサーバ間でやろうぜ。 #wasf

OpenID for Mobile => Artifact Binding #wasf

ユーザセントリックID: 従来のサイトごとの認証モデルから、共通認証基盤による統一認証モデルへ #wasf

Artifact Bindingのデモサイト。http://bit.ly/ds6wba #wasf

モバイルでの OpenID。ガラケーでは GET URI が長すぎて、OP へ要求を遅れずに失敗。応答は assertion が含まれ、更に大きく。 #wasf

URI を短くして単純な認証にするのはf不充分。属性連携はユーザ利便性を高めることが検証された。例えば、手入力のエラーや操作時間が減少。 #wasf

http://openid4.us/ が It works! の件 #wasf

調査参加者は 94% 程度が非常に利用したい/利用したい、という圧倒的な結果。同時に、RP の信用性の確認手段が必要との声も。LoA 従来は個別の事業者同士の認定だったが、信頼フレームワーク提供者 (OITF) に集中化させたモデルへ。 #wasf

デモのありか https://openid4.us/ #wasf

OpenID for Mobile。UA は Artifact のみを送受信。これを利用して、RP が OP から JSONP 形式の assertion を取得する。なぜ GET か。ログに残るから。 .o(HTTP のセマンティクスで、と言いたいところ #wasf

シグネチャとかもう聞きたくないお(´・ω・) #wasf

@iwazer https://openid4.us/ ですよー #wasf

Artifact BindingではMagic Signaturesつかっている。　また英語だぜ！ http://bit.ly/dCs7AK #wasf

ですね！THX RT @makotokaga: @iwazer https://openid4.us/ ですよー #wasf

利点: GET が小さく。サーバ間通信なので拘束。assertion disclosure の防止。OP の完全ステートレス化。NIST の LoA 4 まで対応可能。... #wasf

... (条件を満たせば) 繰返し属性の取得が可能。OAuth 2.0 のトークン受渡しも同時に可能。実装が簡単 (OP 300L, RP 100L 含む HTML、LoA1 の RP ならページにスクリプトを追加するだけ) #wasf

@bukkun まだ右側後方はあいていますよー。 #wasf

OPの完全ステートレス化を目指した。Oauth2.0にも親和性あり。仕様案は5月末にFIX。8月、ドラフトに向けた投票。 #wasf

英語なら全部アルファベットだけですむのでスクリプトの概念がないわけか。#wasf

あ、 #wasf なんてIdentity関係イベントあったんだ。今日に限ってなんで豊作なのだ RT 「AuthN（Authentication：認証）」と「AuthZ（Authorization：認可）」を斬る http://wasforum.jp/conf2010/

属性の表現。どの Type URI を共通に使うのかコンセンサスがない。AXSchema, Portable Contacts 他。米仕様なので単一スクリプト前提。→ スクリプト表現案: Type_URL#言語_スクリプト_国 e.g. #ja_Kana_JP #wasf

日本語を扱うには、漢字、ひらがな、カタカナ、アルファベットの4つのマルチスクリプト言語であることを意識する必要がある。仕様原案は英語なのでシングルスクリプトしかない。属性の取り扱いに関する議論の一部。 #wasf

ダンスですか⁉ 私も踊ってみたい( ´ ▽ ` )ﾉ RT @tzmtk OpenIDのダンスってカッコイイ #wasf

OpenIDの次期仕様策定は、、、v.Next Discovery(サービスディスカバリ）と、v.Next Core(検証とかアクティブクライアントとか・・・）に分かれました。 #wasf

OpenID v.Next。v.Next bDiscoverty, v.Next Core (Verified attribute, Active Client, etc.)。仕様を小さくしようという声もあるが、拡大路線。 #wasf

kthrtty: Artifact Bindingのデモサイト。http://bit.ly/ds6wba #wasf http://ff.im/-kJcOT

本編と全く関係ないけど、v.Next って表記がかっこええ。 #wasf

「Q. SAML との違い。A. discovery があるのと、実装が簡単な点。 #wasf

質問を考えよう。まだ10分あるよ。 #wasf

”OpenID仕様案はLoA4準拠" RT @kthrtty Level of Assurance認定の話。OIX、監査、民間がやります。ガイドラインに沿ってやりますよー。米国政府はOpenIDの受入れ開始、日本の法制度には合致できるのかな。 #wasf

OpenIDプロバイダが死ぬとかってことあるんだね。 #wasf

IdPの廃業の話。UserCentricやDistributionにつきまとう一般的な問題か。Identity情報のエスクローサービスを提供出来なければだめってことね。 #wasf

「OdP 間の ID 移行の課題。サービス終了とともに、ID を失ってしまう → トラストプロバイドに加入していると、廃業する時には ID 引取り要請に応じなければならないということになっている。サービスの突然死でも対応可能な場合あり。」.o(かな? #wasf

日本の携帯はガラケー。いいや、フィーチャーフォン。 #wasf

ガラケーじゃないよ、"Feature Phone"だよ！ #wasf

OpenID プロバイダの死亡に巻き込まれた人がココにも！w #wasf

「利便性検討: デバイス間セッション引継ぎ」.o(これは便利。デバイスへの縛りから開放される。 #wasf

「ケータイでパスワードを入力するのは、携帯電話識別番号を使う方式に比べて、圧倒的に支持された。しかし、安全性に大きく問題がある。 #wasf

携帯電話でパスワード認証にすると評判が悪い．端末ID の方が利用者にとって受けがいい．悲しいけど，これが現実．．．　#wasf

「フィーチャーフォン」って呼び方、はじめて知った。 http://bit.ly/9L0NXm #wasf

ガラケーではなく。 RT @powhei 「フィーチャーフォン」って呼び方、はじめて知った。 http://bit.ly/9L0NXm #wasf

﨑村さんとひろみちゅが、携帯セキュリティで、午後セッションのまえに盛りあがっている！ #wasf

「Q.キャリアで誰が携帯電話識別番号を支持しているのか。A.問題視もされている。ケータイであることを確実に検出したい。Q.ユーザが自分で変更する分には問題ないのでは。」.o(高木さん! #wasf

携帯電話からの接続であることが証明することが重要。ＵＡなんていくらでも変えられるし、携帯用インターフェースをパソコンからいじることでセキュリティーホールをつつくなんてこともありうる。 #wasf

FutureじゃなくてFeatureなのがミソ？ QT @kthrtty: ガラケーじゃないよ、"Feature Phone"だよ！ #wasf

「Q.キャリアが OpenID を提供すれば。A.そういう流れもある。詳しくは割愛。 #wasf

KCCSさんのWeb脆弱性診断サービス。へぇ、KDDI資本が23%も入っている。後のこり京セラね。 #wasf

なんか中国人の名前みたいですねw RT @powhei: 「フィーチャーフォン」って呼び方、はじめて知った。 http://bit.ly/9L0NXm #wasf

携帯コンテンツ固有の診断って具体的に何なんだろう #wasf

やはり物でつるのかｗ #wasf

KCCSのアンケートに答えて、素敵なノベルティをもらおう！財布に入れている？何でしょう。#wasf

「京セラの Web脆弱性診断サービスの (LT 的な) PR。利点: 実績、経験のあるエンジニアによる診断、分かりやすい報告書。アンケート回答でノベルティ + 抽選サービス。」.o(ですってよ #wasf

「第８回 迷惑メール対策カンファレンス」の後援に #wasf も入っていた！ http://www.iajapan.org/anti_spam/event/2010/conf0531/index.html

ここで休憩。次は 13:00 から。 #wasf

取り敢えず午前の部のハッシュタグ #wasf を読み終わった。発言して頂ける人に感謝です :-)

WASFの取材に来たら、マイクロソフトの高橋さんがいる。今日お話するんだっけ？でも先に飯を食う、空腹の品川。

お昼休憩中。いつも思うがどうしてみんな講演の最中につぶやけるのだろう…私なんかメモを取るのさえ追いつかないのに。^^ #wasf

高木浩光＠自宅の日記 - クッキー食えないのはドコモだけ, WASForum Conference 2010 にてケータイ認証の話題 http://bit.ly/cV6jVR 動画ﾜﾗﾀ

ハッシュタグ #wasf おもしろいな。問題山積感が。

WASFのお昼休み、女子と二人で立ち食い蕎麦屋さんに行って来た。(←店を選べと怒られそう。)

C#っぽい感じ RT @suzuki 本編と全く関係ないけど、v.Next って表記がかっこええ。 #wasf

手元に電源があったので確保。 #wasf

WASF参加中。以前お世話になった方々と久しぶりに再会できたりと個人的には楽しいけれど、さて、会社への報告どうしよう。。。 #wasf

そういえば、OpenID はいくつかもってるけれど、OP 死でなくなったものもいつくかあったなぁ。ほとんど黎明期の。とか思い出しながらおひるごぱん。 #wasf

@bakera さんとぜひ話してみたい！とおっしゃる女子がWASF会場内に。笑

Artifact Binding は主に携帯向けなんですかね #wasf

べつにそんなことは無いです。現在、OIDFの理事の何人かは、v.Next core のベースにと推しています。 RT @stanabe Artifact Binding は主に携帯向けなんですかね #wasf

WASF会場舞台向かって左側でVAIO触ってる緑ネクタイです。#WASF

逆です。ユーザーからは、パスワードは否定されました。残念ながら。 RT @nsiena: 「ケータイでパスワードを入力するのは、携帯電話識別番号を使う方式に比べて、圧倒的に支持された。しかし、安全性に大きく問題がある。 #wasf

これは、User-Agent String の話です。すみません、わかりづらくて...。 RT @nsiena: 「Q.ユーザが自分で変更する分には問題ないのでは。」.o(高木さん! #wasf

RT @_nat: べつにそんなことは無いです。現在、OIDFの理事の何人かは、v.Next core のベースにと推しています。 RT @stanabe Artifact Binding は主に携帯向けなんですかね #wasf

@nosawa twitter をメモ替わりにしていますw #wasf

午後は @koyhoge さんが司会らしい #wasf

「ケータイ2.0が開けてしまったパンドラの箱」スタート #wasf

午後始まるよ。HASHコンサル徳丸さん #wasf

午後の部開始． #wasf

『ケータイ2.0が開けてしまったパンドラの箱』(13:00-13:45) : 盛沢山とのこと、なのできっと書き切れない >< #wasf

「『安全なSQLの呼び出し方』(IPA) #wasf

徳丸さんのセッション開始 #wasf IPAの命令で「安全なSQLの...」書いた。

言い出しっぺの法則発動ｗ #wasf

なんか、スライドのケータイ画像が超古いのですがｗ肩掛け時代のケータイか。 #wasf

「安全な SQL の呼び出し方」(IPA) http://bit.ly/bJfs9K #wasf

ソフトバンクのフィーチャーフォンからつぶやく。 #WASF

その右です。RT @Nrtwd WASF会場舞台向かって左側でVAIO触ってる緑ネクタイです。#WASF

えっと、わたしが言った耐タンパ性は、インターネットに出る前です。インターネットに出た後は短波されちゃうよね、という話をしたつもり...。 #wasf

ガラケーではなくフィーチャーフォン #wasf

簡単ログインのはなし #wasf

ブラ三しっかりしろ　>かんたんログインしかない　#WASF

ミクスィー #wasf

Twitter の「かんたんログイン」は、複数台の設定を保持してくれるらしい #wasf

「かんたんログイン。ケータイから端末固有ID を送る。幾つかのメジャーなサービスを紹介。かんたんログインしか提供しないサービスも。 #wasf

端末固有IDが変更できないという前提で簡単ログインが成り立つ #wasf

かんたんログインが成り立つための十分条件は、端末固有IDが送られてくることではなく、PPIDが送られてくることなのでは？ #wasf

「端末固有 = 全サイトに送信される = 秘密情報ではない。書き換えできないという前提。HTTPヘッダに乗るので通常は変更できない(といわれる)。→ かんたんログインが成立する条件: ケータイ網が閉ネットワーク ∧ ケータイ端末で減ったを変更できない #wasf

固有ID＋IPチェックでもタンパされちゃうよね。１）携帯電話をモデムとして使った場合２）ケータイによる書き換え。今日のテーマは後者。 #wasf

ケータイ網が閉じたネットワークである。ケータイ端末の機能が低くHTTPヘッダを書き換える機能がない。が前提 #wasf

某キャリアでテザリング使うと、キャリアの閉網にPCで接続できちゃう話。そんなんじゃ、いくらでも書き換えポイントはある。 #wasf

wasf楽しそうだ…

WASF聞きたい話満載だなぁ... しくしく

docomoのケータイJSが止まった理由。XHR経由でHeaderを書き換えられちゃうと考えられる。なんと、現在はsetRequestHeaderはI/Fのみの提供に変わってるぜ。 #wasf

XMLHttpRequest + setRequestHeader で書き換え。半年間のJavascript停止以降、setRequestHeaderが機能しなくなった。 #wasf

「2009/05 のドコモの報道発表にて、JavaScript対応。1.XHR使える、2.setRequestHeader() 使える、3.これで UserAgent などを書き換えられる、でなりすませる。同/10/末に 2.が無効化された。 #wasf

iモード専用サイトのHTMLサイトを閲覧する方法が公開。 #wasf

iモード専用サイトのhtml ソースの閲覧方法(mpw.jp 管理人のblog)　http://bit.ly/5WhD5h #wasf

setRequestHeader()を何もしないメソッドに置き換える荒技w #wasf

DNS Rebindingによるなりすまし攻撃のはなし #wasf

そういえばSBの夏モデルあたりからiモードブラウザ2.0相当のJSが動くようになるとか、どっかでみたな #wasf

え、@ymzkei5さんが、女子と会話したの？ｗ RT: @ymzkei5: @bakera さんとぜひ話してみたい！とおっしゃる女子がWASF会場内に。笑

DNSリバインディングによるなりすまし攻撃のお話。 #wasf

今日はラオスフェスとOSCONとWASFとたまたきと色んなイベントがあるんだなーどれも行かないけど

皆品川って。　これに行ってるんだ・・　http://wasforum.jp/conf2010/program/

「mpw.jp ブログにて、iモード線用サイトの HTML ソースを読む方法 (正当な行為) の記事。DNS Rebiding による成りすまし攻撃により、same origin ポリシーが破られうる。JavaScript などで個人情報を第三者サイトへ送信可能に。 #wasf

「ケータイブラウザやゲートウェイで泰作すべきという意見あり。ゲートウェイ経由なのでブラウザでは名前解決していない。ゲートウェイは複数ユーザ対象なので、文脈を意識した pinning は不可能。→ キャリアでは対策ででない #wasf

DNSリバインディング対策はケータイ事業者側ではできない#wasf

「ゲートウェイで DNS キャッシュすれば攻撃はしにくくなるが、攻撃を無くすことはできない。キャッシュ更新のタイミングを狙って誘導。ケータイメールはすぐに見る人も多いので引っ掛かる可能性がある。 #wasf

ケータイサイトの「かんたんログイン」へのなりすましに関する話。DNS Rebinding 対策はキャリア側ではできない。大半のブラウザもDNS Pindingはしない実装。 したがって、各サービスサイト側で対策するのが現実解となる。 #wasf

「実機で実験した結果。ゲートウェイアドレスは複数。負荷分散か。1分程度はキャッシュしているようだ。しかし、これは対策にならない。 #wasf

なんか、重要なのでRT @ikepyon: え、@ymzkei5さんが、女子と会話したの？ｗ RT: @ymzkei5: @bakera さんとぜひ話してみたい！とおっしゃる女子がWASF会場内に。笑

DNSリバインディング対策：かんたんログインの際にHostフィールドをチェック（簡単に実装するには名前ベースのVirtualHostにすればよい） #wasf

「ウェブサイト側で対策可能。Host フィールドをチェック。簡単に実装するには、名前ベースの仮想ホストにすれば良い。 #wasf

ケータイサイトの新しいセキュリティ対策。例えサーバに繋ぎに来たとしても、DNSリバインディングではHOSTヘッダが異なるので、ちゃんとチェックせよ #wasf

簡単ログインの際にhostフィールドをチェックすればいい。　#wasf

ソフトバンクの話来た！！ #WASF

@ymzkei5さん　ち、ちゃんす～ですお！RT @yumano: なんか、重要なのでRT @ikepyon: え、@ymzkei5さんが、女子と会話したの？ｗ RT: @ymzkei5: @bakera さんとぜひ話してみたい！とおっしゃる女子がWASF会場内に。笑

おー、また濃いスピーカー陣ですねぇ・・・。　RT @Akira_Murakami: 皆品川って。　これに行ってるんだ・・　http://wasforum.jp/conf2010/program/

ソフトバンクモバイル問題キター #wasf

922SHでは setRqequestHeader サポートしていた！ #wasf

ＪＳ携帯ってそんなに前からあったんだ。　#wasf

「ケータイ2.0がパンドラの箱を開けてしまった。ソフトバンクも。2004/12 頃から、JavaScript 対応の端末あり。ただし、XHR、iframe, DOM などへ未サポートないし部分的サポートだった。 #wasf

"ケータイ2.0がパンドラの箱をあけてしまった" 一部のケータイでは2006年頃からJSを実装。setRequestHeaderメソッドによるヘッダ不正改変の問題。#wasf

へ〜。RT @k_morihisa: iモード専用サイトのhtml ソースの閲覧方法(mpw.jp 管理人のblog)　http://bit.ly/5WhD5h #wasf

(((( ;ﾟдﾟ))))ｱﾜﾜ #wasf

ドコモより先にソフトバンクが・・・ すでにパンドラの箱が開かれていた。 #wasf

検証のためのfeature phone購入費約7万円、というくだりで会場からどよめきがｗ #wasf

wasfフォーラムなう。前の席の方の頭が大きすぎるの以外は快適。

「setRequestHeader() で改変可能なヘッダいろいろ。ソフトバンクが Host フィールドを変更できてしまう! (要設定変更) →ソフトバンク社に連絡して対策打合せなど。 #wasf

ソフトバンク携帯はhostヘッダ書き換えられるらしいらしい #wasf

「日本のガラケーの安全のために一肌脱ぐ」 #wasf

60台を3時間で検証とはすごい。 #wasf

「4ヶ月弱が経過。端末更新はないが、DNS が 5分程度キャッシュするなど挙動が変化。しかし、対策として不充分。90機種のマニュアルをダウンロードして検証。検証センターで実機 60台を 3時間で検証。4機種が Ajax が有効だった!」.o(偉すぎる #wasf

「日本のガラケーの安全性の為に・・・」すごいです・・・ #wasf

脆弱性を調べるために SBM の端末を実際に購入したり、全機種のマニュアルを調べたり、全機種テストをしたり、徳丸さんには本当に頭が下がるなぁ。 #wasf

「問題機種のサマリ。NEC, CASIO, Samsung の一部機種。ソフトバンクの端末は統制が取れていない印象。メーカー間の情報共有もなされていない。ソフトバンクと ACCESS の責任。」.o(誰かが写真を上げてくれるはず! #wasf

SBM の 820N/821N, 830CA, 940SC はデフォルトで Ajax が ON になっている #wasf

これ、発表資料じっくり読みたいなぁ。 #wasf

wasfなう。面白い。RT @gozuk16: へ〜。RT @k_morihisa: iモード専用サイトのhtml ソースの閲覧方法(mpw.jp 管理人のblog)　http://bit.ly/5WhD5h #wasf

へぇ～って実は922SHユーザ RT @_nat: 922SHでは setRqequestHeader サポートしていた！ #wasf

”60台のSBMケータイのAjax実装を自力でチェック！　→デフォルト設定でAjax有効なザンネンケータイは存在した。NetFrontの開発元は何をしていたのか。幸い街頭機種のシェアは低いが。” #wasf

シリーズ途中の1機種だけXMLHTTPRequestがデフォルト有効だったというのがなんとも。 #wasf

「ソフトバンク端末では，かんたんログインを無効にするという考え方もあり」か．　#wasf

.o(「日本のケータイの安全のために」自発的にここまでされるのは本当にすごい。キャリア, メーカ, ソフト屋、もっとがんばれ。なにやってんの。 #wasf

http://www.hash-c.co.jp/ajax/chkajax.cgi #wasf 携帯AJAX脆弱性チェックサイト

その端末が Ajax が有効かどうかを調べるツール http://www.hash-c.co.jp/ajax/chkajax.cgi #wasf

http://www.hash-c.co.jp/ajax/ahkajax.cgi でケータイのAJAXを確認できる #wasf

SSLではかんたんログインを受け付けない #wasf

SSLをつかったヘッダ書き換え攻撃可能。SSLでは簡単ログインは受け付けてはいけない。 #wasf

「SSL では簡単ログインを受け付けない」 #wasf

「能動的攻撃の可能性。iモード端末など、二つのトリックで端末固有IDの改変が可能。対策は、SSL では簡単ログインを受け付けないようにする。キャリア判定は、User-Agent などではなく IP アドレスで。 #wasf

まぁ、単なる bearer token で認証しちゃだめだよね、ということですよね。当然のことながら。 #wasf

また、仲間はずれだ・・・ orz RT @cchanabo: おー、また濃いスピーカー陣ですねぇ・・・。　RT @Akira_Murakami: 皆品川って。　これに行ってるんだ・・　http://wasforum.jp/conf2010/program/

後で試すRT @suzuki: その端末が Ajax が有効かどうかを調べるツール http://www.hash-c.co.jp/ajax/chkajax.cgi #wasf

ケータイセキュリティについてオープンに議論出来る場の必要性！やりましょう。 #wasf

かんたんログイン必須対策:キャリアゲートウェイのIPアドレスのみ通信を制限/キャリア判定にもIPアドレスを/Host:ヘッダのチェックもしくは名前ベースのバーチャルホスト/ソフトバンク端末はAjax規制あるいはスクリプトの禁止/SSLでは簡単ログインは行わない #wasf

「まとめ。いろいろ問題が見つかっている。Ajax規制ないいスクリプトの禁止や、アプリ側の対策など必要。これで完璧かは誰にも分からない。 #wasf

間違えてたhttp://www.hash-c.co.jp/ajax/chkajax.cgi だった #wasf

end to endのSSLではゲートウェイを挟まないので端末IDの詐称が可能。 #wasf

「まだ、かんたんログインを続けますか? #wasf

つづいてケータイ認証のお話。 #wasf

オープンに議論できる場はほしいですね。 #WASF

今回の徳丸さんまとめ、簡単ログインには穴がありそう。DocomoはJSの仕様を変えた。DNS RebindingでJSのSameOriginを突破可能。ポイントはHostヘッダの書換え機能。SBのJS対応端末はヤバイのがある。SSLでの簡単ログインはNG。 #wasf

こんどは高木先生 #wasf

高木浩光氏のご講演開始 #wasf

twitter!!! #wasf

『どうするケータイ認証』(13:45-14:30) : 高木せんせ #wasf

「ケータイウェブは WASForum であまり扱って来なかった: 独自方式で、仕様が不明確, NDA の壁で語られない, キャリアが責任を以ってやるべき話であって部外者が何かをしてやる立場ではない。 #wasf

「しかし。ケータイ独自方式が一般サイトに浸出。iモードID送信開始, スマートフォン対応の活発化。ガラパゴス化というよりも、技術者の蛸壺化も問題か。 #wasf

飴が後ろからまわっております。 ありがとうございます。頂きます。 #wasf

おかしタイムが始まったｗ #wasf

このチュッパチャップスを何も考えずに受け取ると実はセキュリティホールとか？ #wasf

番号を配れば認証できると言う論調も、おんなじ様な話ですよね。それが嘘だということをなぜみな認識できないんだろうか。 #wasf

お菓子タイムきたああああ #wasf

「ログイン認証の欠陥事例。DNS rebiding は古い問題 (199x)。ドコモ公式発表では、一般向けには対策などを提供していない。曰「Ajax などについては皆が知ってるはず」。 #wasf

「しかし、かんたん認証とかは、普通の世界にない独自のもの。知っているという前提はおかしい。 #wasf

スイーツ（笑 #wasf

「かんたんログイン」のセキュリティ脆弱性の問題は日本だけ。しかもキャリア側も情報開示していない。DNS Rebindingについての議論は前からあるが。 cf. JVN#87730223,サイボウズOffice、JVN#06874657 OpenPNE #wasf

クッキーではないのか。 #wasf

本当は休憩時間に回す予定でしたが、むしろ今がベストかと（ｗ #wasf

飴ゲット #wasf http://twitpic.com/1pw7tf

IPアドレス制限と、ケータイID抽出が別ロジックになってたらまずいよねー。そりゃそうだコンテキスト毎に垂直分割すべきだ #wasf

飴ちゃん配布。 #wasf

一人一本以上ありますから、遠慮なさらず。むしろ食べきってください #wasf

そう言えばwasf2008でGREEの人が携帯の話してませんでしたっけ #wasf

契約者固有ID, 端末固有IDは両方とも bearer token。IP Address 制限したところで、公開情報で認証なんかできないということを認識すべきだと思う。 #wasf

いいなぁ。行きたかったです。。 RT @shita: また、仲間はずれだ・・・ orz RT @cchanabo: おー、また濃いスピーカー陣ですねぇ・・・。　RT @Akira_Murakami: 皆品川　http://wasforum.jp/conf2010/program/

お楽しみに RT @rryu2010 クッキーではないのか。 #wasf

「脆弱でない実装は簡単ではない。DNS rebiding 対策をしているだけでは十分ではない。IPアドレス制限と、ケータイIDチェックを個別に行なうと、有りえない組合せでも通過してしまう。 #wasf

青いキャンディーを選んだ人は覚悟が必要。舌が青くなります（笑）#wasf

簡単ログインこわいなぁ #wasf

@march0503 筑波の学生さん、結構いらっしゃってますよ

Twitter認証もBearer Token? RT @_nat: 契約者固有ID, 端末固有IDは両方とも bearer token。IP Address 制限したところで、公開情報で認証なんかできないということを認識すべきだと思う。 #wasf

@man5e 飛んでますよー。ただし商用だけど。

@kogawam はい、藤本さんがしてくださいました。 #wasf

「EMnetプロキシサーバの挙動: HTTP ヘッダに X-EM-UID が既にある場合は、本物で上書きして成りすまし防止。それ以外のヘッダは関知しない。他社のケータイID を削除するのは容易ではない。→ ウェブサイト側の脆弱性か #wasf

「実際に動いてすぐ使える」はありえない　#wasf

mailwebservice.softbank.ne.jp + sbwapproxy.softbank.ne.jp:8080 を経由したアタック。 #wasf

いま配るなら飴じゃなくてクッキーではないのか、という話はたしかにある。 #wasf

Softbankの海外スマフォン向けのAPNを経由すると、端末詐称できるのは有名な話。確かに聞いたことあんな。UserAgent変えて課金回避のネタだったかな。 #wasf

日比谷はずっとアルコール&つまみタイム(w RT @ikepyon おかしタイムが始まったｗ #wasf

X-JPhone-UID: は削除した上本物を付与するが、User-Agent: 中野端末シリアル番号は素通りする。 #wasf

「公式な解説がなく、素人のずさんな解説が蔓延。e.g. 接続元アドレス制限に Google用の穴を開ける。/ EMnetだけでなく、ソフトバンクも X-JPhone-UID に類似の問題。User-Agent 中の端末シリアル番号は素通りするので認証に使ってはいけない #wasf

wasf行きたいけど、嫁が出かけてて子供とお留守番中です(^^；)

誰がうまい事(ry RT @ash7: いま配るなら飴じゃなくてクッキーではないのか、という話はたしかにある。 #wasf

CGI RESCUE 会員制携帯サイトかんたんログイン　http://bit.ly/asHvHP #WASF

株式会社トライコーダって… RT @shita: また、仲間はずれだ・・・ orz RT @cchanabo: おー、また濃いスピーカー陣ですねぇ・・・。　RT @Akira_Murakami: 　http://wasforum.jp/conf2010/program/

「U-A: がソフトバンクの所定のものでなければ拒否される。'所定の文字列' の後ろの文字列は無視される。ウェブアプリ側のキャリア判定ロジックによっては、後ろの文字列に反応して誤った判定をする可能性。→ 本当にアプリ側の責任? 公式情報の不在。対策を明確化できない。 #wasf

公式情報が各キャリア同じレベルで公表されるだけでも助かるんだけどなあ。 #wasf

現時点、SBMとEMのゲートウェイは、偽装した他社端末からアクセスされても通してしまう是弱性がある。 #wasf

環境変数経由で取得する場合はX-JPHONE-UIDとX_JPHONE_UIDが同じ名前になるのでX_JPHONE_UIDで送れば詐称できる可能性がある罠。 #wasf

UNIX系の環境変数を使うCGIの場合、ハイフンが使えないので、アンスコに変換するのは定石。そこに落とし穴がある。 #wasf

核心に迫ってきた……。 #WASF

SSL接続で得た携帯IDは危ない。ゲートウェイ付与型：ゲートウェイでヘッダ書き換えができない。 #wasf

携帯サイトとか作らないしなぁ(´・ω・) #wasf

「IPアドレスでのキャリア判定は確実ではない。公式情報の不在 →他キャリアと統合したサイト構築の方法は保証外。/ SSL接続で得たID はそのまま届く。任意に変更可能な場合に危険。HTTP/SSL のページを提供していないつもりでも稼動してしまっている場合もある。 #wasf

@kthrtty bearer token じゃだめというのは言い過ぎだな。公開された bearer token は駄目だに訂正します。携帯の固有番号はそれです。 #wasf

高木先生が淡々とにこにこしながらコワイ話を次々と繰り出す件。生だと威力倍増ｗ #wasf

ひろみつさ曰く、IPアドレスリストの更新・告知の運用はあまりにもお粗末。某ポータルのエンジニア曰く、PDFをparseして、dailyで取得してリストに登録してる。苦肉のさくすぎる #wasf

配った後で：「いま皆様が食べたクッキーの中には、模造品があります。食べた人は失格です」 QT @ash7: いま配るなら飴じゃなくてクッキーではないのか、という話はたしかにある。 #wasf

「キャリアIPアドレスの明確な情報。HTTP/SSLでの安全な提供方法がない。機械的に処理可能な明確な記述がない。使用IPアドレスの増減。などなど。 #wasf

サクサクと恐ろしい話が語られている #wasf

運営側で自信を持って試食したと @okdt が豪語していたので、別のトラップがあると思われRT @tyamadajp: 配った後で：「いま皆様が食べたクッキーの中には、模造品があります。食べた人は失格です」 QT @ash7: いま配るなら飴じゃなくてクッキーでは #wasf

Routing上にいる人間が IP Spoofing をすれば、アタック可能。 #wasf

端末付与型のリスク EZ番号。 Jail Break 。 #wasf

かんたんログイン終了のお知らせ。 #wasf

簡単ログインの脆弱性について #wasf

高木さん→「次の上野さんの時間を使わせて頂いて」w #wasf

時間をちょっと使わさせていただいて．．．　#wasf

Cookieはたしかに早く実装してほしい！ #wasf

これが本当のセッション（タイム）ハイジャック！ #wasf

Buzzurlはバザールと読みます #wasf

結局、ケータイでもCookie使えるように早くして、超シンプルかつ誰もが納得できる方法で実装するのが安全ということか、な。 #wasf

cookie 食えないのはドコモだけ #wasf

このセッションはタイムキープあきらめましたw もうどうにでもして! #wasf

Cookie で実装せよ！ログイン後無期限に cookie を発行すれば良い。 #wasf ケータイの cookie 有効率 au: 99.9%, SB: 98.7%, docomo: 28%.

ドコモケータイは28％しかcookie有効でない。他キャリアは殆どが有効。（モバツイさん調べ） #wasf

「クッキーで実装する。ログイン後に無期限のIDを クッキーとして発行。クッキーを使えないのはドコモたけ。/ そもそも UI がおかしい。押すだけのボタンなら最初からログインさせてしまえばいい。ログアウトも意味がない。昔の utn のなごり? なにこれ? #wasf

auは99.9%でCOokie利用できる。SBも98.7%、docomoもすごい勢いで28%。みんなCookie食べればよいと思う。 #wasf

そもそも、「かんたんログイン」のUIが変！utn の名残？ #wasf

簡単ログイン言うなキャンペーン #wasf

「簡単ログイン」言うなキャンペーンｗｗｗ #wasf

要らないとずっと思ってた（笑）〈ログインボタン #wasf

簡単ログインいうなキャンペーンｗ #wasf

タイムライン眺めてるだけでも面白いワァ #wasf

「簡単ログイン」言うなキャンペーン by たかぎひろみつ #wasf

かんたんログイン言うなキャンペーンw #wasf

サーバーサイドのセッション破棄とかあるんでは？>かんたんログインのログアウト #wasf

「「かんたんログイン」と呼ぶこと自体をやめてしまおう! きゃんぺーん(笑) : 無思慮な技術者に真似され続けるので。発注者の目に触れさせないように。 #wasf

簡単ログイン撲滅 #wasf

女子大生の声色でしゃべる高木さんが面白すぎる #wasf

かんたんログイン言うなキャンペーンwそして時間は伸びて行くwww #wasf

ひろみつさんのしゃべりがとまらないぞー！ #wasf

高木センセ，さらに追加でセッション（タイム）ハイジャック（笑） #wasf

発表時間無双！！！ 素晴しいですwwww #wasf

かんたんログインまじ神w #WASF

簡単ログインは作ってる側はセッション維持じゃなくて、認証だと思ってんじゃないの？ #wasf

「簡単ログイン言うなキャンペーン」これは流行る #wasf

新たなキャンペーン開始のお知らせ #wasf

高木氏絶好調である。 #wasf

クッキーとその認証方法についてちゃんと設計しないといくらでもセッション乗っ取りできるからねー、 #wasf

はい、また延長入りました！RT @yobynop: 高木氏絶好調である。 #wasf

弱いパスワードは利用者の責任、ケータイID認証の脆弱性はサイト運営者の責任。そんな利用者を切り捨てたら袋だたきに遭うのは日本の現場のつらいところ？ #wasf

今日のキーワード「フィーチャーフォン」「簡単ログイン言うな」　#wasf

「神話: パスワードより安全 (だいじなので時間使うよ!) : パスワードを登録しないサイトは、端末と対応付けるだけで充分なら成立していたが、SNS などキャリア乗り換えで ID 移行が必要なサイトも一般化。結局、ID/PW が必要。 #wasf

気がついたらセッションハイジャッククッキーモンスターにひろみちゅたんが化けておりました。 #wasf

「iモードのクッキー未対応には? 原則としてクッキーで実装し、iモード1.0 のみ別途対応することを提案したい。 #wasf

いや、アルコールオンリーかもｗｗｗ RT @sagami22 日比谷はずっとアルコール&つまみタイム(w RT @ikepyon おかしタイムが始まったｗ #wasf

ユニシスをばっさり #wasf

wasf いいなぁ……。

「ニコ動 iPhoneアプリの事例: 内臓シリアル番号 UDID をセッション管理に使ってしまった。無線LAN で接続することもあるし。 #wasf

OpenPNE3では（できれば夏リリースの3.6には）かんたんログインしなくても利便性を損なわない端末では使わないのをデフォルトにできるように動いていきたいです #wasf #op3dev

「ヤマダ電機 iPhoneアプリの事例: ユニシスいわく「iPhone個体の識別子とアプリ固有IDでセキュリティの高い認証が可能」→ 安全ではない。/ 誤解が広まっている #wasf

auth cookie をURLに動的に埋め込むのは？ RT Cookie で実装せよ！ログイン後無期限に cookie を発行すれば良い。 #wasf ケータイの cookie 有効率 au: 99.9%, SB: 98.7%, docomo: 28%. (@_nat)

携帯の業界だから、PCの業界だからという区別をするのはいいけど、そこで相手が何やってるのか興味なくすと危険なんだなとか聞いてて思った。#wasf

やってみた。「Ajaxが利用可能であり、危険な状態です。」ですと。 RT @KUROUSAI: 後で試すRT @suzuki: その端末が Ajax が有効かどうかを調べるツール http://www.hash-c.co.jp/ajax/chkajax.cgi #wasf

「国民 ID 的な利用方法の広がり。広まってしまうと、後戻りできなくなりかねない。一般インターネットへも波及してしまいかねない e.g. フィルタリング用途, 年齢情報も送信されるようになる?, などなど。 #wasf

「今後, 泰作が進められる可能性がある。ウェブサイト側は事前に対策しておくことを推奨。通常の PC 向けウェブサイトと同じように作る。/ 端末固有IDが必要、という主張は、大抵は別手段がある。 #wasf

意味ありげな、たかぎ先生のコメント。拡大解釈すると、「簡単ログイン」使えなくするから、いまからCookie方式に乗り換えないと、サービス継続に影響あるよ #wasf

たいむらいんだけでもおもしろい！ #wasf

「プライバシーをとるか，安心・安全をとるか」両立を目指してこそプロなのに　#wasf

No more かんたんログイン #wasf

国民ID 国民世論 技術者の役割 プライバシー 今後の展望 安心・安全との両立 日本だけの仕様 #wasf

@suefavor 高木さんが暴走中です。いや、快走中です。

ボイコットdocomo ID #wasf

「「iモードIDは取得していません」バナー、どうぞご利用ください」高木浩光@自宅の日記　http://bit.ly/99vGXy　#wasf

「docomo IDを使う場合、iモードIDを取得すべきではない」 #wasf

「何を優先する彼の問題。プライバシーか、安心安全か → 両立を目指してこそのプロ。2010/02 に docomo ID が公開されたが、OpenID なのに iモードID が属性情報にある。iモードID の取得はやめておくべき。 #wasf

オチまでついて、高木氏のハイジャック終了。 #wasf

セッションタイムハイジャック終了w #wasf

「15分も超過しまして(笑)」司会「セッションハイジャッカーが」(^^;; #wasf

『OAuthとWEBサイト運営のエコシステムに潜む罠』(14:30-15:15) : 「認証ばかりなので認可の話も #wasf

docomo IDのあれはOpenIDの属性情報ではなくて、nonceをキーにiモードIDが1回だけ取得できるAPIがあるという独自仕様です。 #wasf

「また上野宣か」で検索　#wasf

「エコシステム = 特定業界の収益構造を指す言葉」.o(収益に限定されないような気が。 #wasf

OAuthがいきなり認可として紹介されたけど、まだ、保護リソースへの単なるアクセス手段、の域を出ていないと思う。ちゃんと認可のスコープを定義するフレームワークがあってこそ。 #wasf

「エコシステムが成立するために。他サイトとの連携: コンテンツ/サービスの提供, マッシュアップ/APIの提供。ユーザ特定: 認証の提供。ユーザ固有コンテンツと連携: 認可の提供, 多くは認証後に。 #wasf

クッキー系投入 #wasf

認証・・・本人確認　認可・・・リソースへのアクセス権の付与　#wasf

お菓子まわっております^q^ #wasf

「認証 (authentication, AuthN) = 本人確認。認可 (authorization, AuthZ) = リソースへのアクセス権の付与。 #wasf

お菓子は残っても困るのでいっぱいとってね♪ #wasf

cookie が回ってきた w #wasf

たしかにこの方法ではハッシュ関数使えないから平文で持つ羽目になるよね。 #wasf

チョコ到来 #wasf http://twitpic.com/1pwrzu

「どうやって他サイトのリソースのアクセス権を得るか。認証情報 (クレデンシャル) を連携サービスにも預ける方法: 平文で ID/PW を保存・送付している可能性。第三の管理者による管理というリスク。 #wasf

本当にクッキーきたw トラッキングされるw #wasf

国民のためのウェブサイトを運営するID認証の舞台裏 (Yahoo! Japan),ケータイ2.0が開けてしまったパンドラの箱,OAuthとWEBサイト運営のエコシステムに潜む罠,“Web2.0”におけるセキュリティ http://wasforum.jp/conf2010/

クッキーきたきた #wasf http://twitpic.com/1pwsi7

@rryu2010 クッキーではなくウエハースだから大丈夫です。#wasf

キヒヒ RT @rryu2010 本当にクッキーきたw トラッキングされるw #wasf

@sen_u さんのセッション露出。ハイジャックやるなよって言われたら誰かやるよね。ね。ね。 #wasf

「例: Twitter 連携サイトで BASIC 認証 (2010/06 に廃止)。BASIC 認証にログアウトはない。」.o(ログインという考え方ではないし。都度、認証。 #wasf

@suefavor ボードメンバーの企みが次々と繰り出されておりますｗ

「認証・認可を独自に作るべきでない。エコシステムに入るには共通仕様で。→ 認可を他サイトに任せたい。認証情報は預かりたくない。→ OAuth #wasf

「今夜わかるOAuth」 出版はいつですか？w #wasf

Oh Auth(オーオース) #wasf

Basic認証がダメなのはサイトがID/PW保存して通信に使われるからじゃない？ブラウザのデモは意味あるの？ #wasf

「OAuth の発端: Twitter API のアクセス権を委譲したい (2007/12-)。現在 1.0 Rev.A。2.0 を策定中。今年度中? #wasf

簡単ログインってのがそこまで普及してるとは知らなかったなー #wasf

「せっかくなんで」 「わすふったー」 #wasf

わすふったーwww #wasf

oAuthの話 #wasf

わすふったー http://wasftter.appspot.com/ #wasf

パスワードこぴぺってるよ。。。。。。。#wasf

「OAuth の手順の流れの概説と twitpic の例。 #wasf

.o(Twitter の OAuth の使い方は、許可する範囲が限定されないのがよくないよね。読むだけとか、書くのもとか、DM もとか。RP にカテゴリと機能の強弱を限定できるようにしてほしい。何が許可されるかユーザにも分かるようにしてほしい。 #wasf

#wasf か、今日。行きたかった…。

@nsiena そのへんは、2.0 だと scope というのはあることはある。が、scope の内容は標準化されない。OpenID だと、そのあたり標準化される。 #wasf

「アクセス権の異常で何ができるか。サービスプロバイダ次第: リソースの種類と有効期限。サービスはここ 1年くらいでかなり増えた。国内のケータイに充分に対応できてないサイトも。まだ、パスワードを預かるサイトも多い。ust とか。 #wasf