WASForumまとめ

Nat Sakimura/崎村夏彦 @_nat

DNS Rebindingによるなりすまし攻撃のはなし #wasf

haruta makoto @haruta_makoto

そういえばSBの夏モデルあたりからiモードブラウザ2.0相当のJSが動くようになるとか、どっかでみたな #wasf

Ikeda Masakazu @ikepyon

え、@ymzkei5さんが、女子と会話したの？ｗ RT: @ymzkei5: @bakera さんとぜひ話してみたい！とおっしゃる女子がWASF会場内に。笑

れれのーと @rerenote

DNSリバインディングによるなりすまし攻撃のお話。 #wasf

黒羊はね＠11/12-3F-F-23,24 @bsheep

今日はラオスフェスとOSCONとWASFとたまたきと色んなイベントがあるんだなーどれも行かないけど

@Akira_Murakami

皆品川って。　これに行ってるんだ・・　http://wasforum.jp/conf2010/program/

@nsiena

「mpw.jp ブログにて、iモード線用サイトの HTML ソースを読む方法 (正当な行為) の記事。DNS Rebiding による成りすまし攻撃により、same origin ポリシーが破られうる。JavaScript などで個人情報を第三者サイトへ送信可能に。 #wasf

@nsiena

「ケータイブラウザやゲートウェイで泰作すべきという意見あり。ゲートウェイ経由なのでブラウザでは名前解決していない。ゲートウェイは複数ユーザ対象なので、文脈を意識した pinning は不可能。→ キャリアでは対策ででない #wasf

sokokame @sokokame

DNSリバインディング対策はケータイ事業者側ではできない#wasf

@nsiena

「ゲートウェイで DNS キャッシュすれば攻撃はしにくくなるが、攻撃を無くすことはできない。キャッシュ更新のタイミングを狙って誘導。ケータイメールはすぐに見る人も多いので引っ掛かる可能性がある。 #wasf

'ash' - T.ASHIDA @ash7

ケータイサイトの「かんたんログイン」へのなりすましに関する話。DNS Rebinding 対策はキャリア側ではできない。大半のブラウザもDNS Pindingはしない実装。 したがって、各サービスサイト側で対策するのが現実解となる。 #wasf

@nsiena

「実機で実験した結果。ゲートウェイアドレスは複数。負荷分散か。1分程度はキャッシュしているようだ。しかし、これは対策にならない。 #wasf

yumano @yumano

なんか、重要なのでRT @ikepyon: え、@ymzkei5さんが、女子と会話したの？ｗ RT: @ymzkei5: @bakera さんとぜひ話してみたい！とおっしゃる女子がWASF会場内に。笑

れれのーと @rerenote

DNSリバインディング対策：かんたんログインの際にHostフィールドをチェック（簡単に実装するには名前ベースのVirtualHostにすればよい） #wasf

@nsiena

「ウェブサイト側で対策可能。Host フィールドをチェック。簡単に実装するには、名前ベースの仮想ホストにすれば良い。 #wasf

Katsu Tatsu @kthrtty

ケータイサイトの新しいセキュリティ対策。例えサーバに繋ぎに来たとしても、DNSリバインディングではHOSTヘッダが異なるので、ちゃんとチェックせよ #wasf

tpdn @KIM_TPDN

簡単ログインの際にhostフィールドをチェックすればいい。　#wasf

水無月ばけら @bakera

ソフトバンクの話来た！！ #WASF

@Akira_Murakami

@ymzkei5さん　ち、ちゃんす～ですお！RT @yumano: なんか、重要なのでRT @ikepyon: え、@ymzkei5さんが、女子と会話したの？ｗ RT: @ymzkei5: @bakera さんとぜひ話してみたい！とおっしゃる女子がWASF会場内に。笑

Kyoko HANADA(花田 経子) @cchanabo

おー、また濃いスピーカー陣ですねぇ・・・。　RT @Akira_Murakami: 皆品川って。　これに行ってるんだ・・　http://wasforum.jp/conf2010/program/

rryu🐋 @rryu2010

ソフトバンクモバイル問題キター #wasf

Nat Sakimura/崎村夏彦 @_nat

922SHでは setRqequestHeader サポートしていた！ #wasf

tpdn @KIM_TPDN

ＪＳ携帯ってそんなに前からあったんだ。　#wasf

@nsiena

「ケータイ2.0がパンドラの箱を開けてしまった。ソフトバンクも。2004/12 頃から、JavaScript 対応の端末あり。ただし、XHR、iframe, DOM などへ未サポートないし部分的サポートだった。 #wasf

'ash' - T.ASHIDA @ash7

"ケータイ2.0がパンドラの箱をあけてしまった" 一部のケータイでは2006年頃からJSを実装。setRequestHeaderメソッドによるヘッダ不正改変の問題。#wasf