WASForumまとめ

'ash' - T.ASHIDA @ash7

いま配るなら飴じゃなくてクッキーではないのか、という話はたしかにある。 #wasf

Katsu Tatsu @kthrtty

Softbankの海外スマフォン向けのAPNを経由すると、端末詐称できるのは有名な話。確かに聞いたことあんな。UserAgent変えて課金回避のネタだったかな。 #wasf

さがみ／たはら @sagami22

日比谷はずっとアルコール&つまみタイム(w RT @ikepyon おかしタイムが始まったｗ #wasf

Nat Sakimura/崎村夏彦 @_nat

X-JPhone-UID: は削除した上本物を付与するが、User-Agent: 中野端末シリアル番号は素通りする。 #wasf

@nsiena

「公式な解説がなく、素人のずさんな解説が蔓延。e.g. 接続元アドレス制限に Google用の穴を開ける。/ EMnetだけでなく、ソフトバンクも X-JPhone-UID に類似の問題。User-Agent 中の端末シリアル番号は素通りするので認証に使ってはいけない #wasf

Eiji James Yoshida @EijiYoshida

wasf行きたいけど、嫁が出かけてて子供とお留守番中です(^^；)

@yobynop

誰がうまい事(ry RT @ash7: いま配るなら飴じゃなくてクッキーではないのか、という話はたしかにある。 #wasf

ハニーポッター @k_morihisa

CGI RESCUE 会員制携帯サイトかんたんログイン　http://bit.ly/asHvHP #WASF

みなみ零 @mr511724ks

株式会社トライコーダって… RT @shita: また、仲間はずれだ・・・ orz RT @cchanabo: おー、また濃いスピーカー陣ですねぇ・・・。　RT @Akira_Murakami: 　http://wasforum.jp/conf2010/program/

@nsiena

「U-A: がソフトバンクの所定のものでなければ拒否される。'所定の文字列' の後ろの文字列は無視される。ウェブアプリ側のキャリア判定ロジックによっては、後ろの文字列に反応して誤った判定をする可能性。→ 本当にアプリ側の責任? 公式情報の不在。対策を明確化できない。 #wasf

れれのーと @rerenote

公式情報が各キャリア同じレベルで公表されるだけでも助かるんだけどなあ。 #wasf

'ash' - T.ASHIDA @ash7

現時点、SBMとEMのゲートウェイは、偽装した他社端末からアクセスされても通してしまう是弱性がある。 #wasf

rryu🐋 @rryu2010

環境変数経由で取得する場合はX-JPHONE-UIDとX_JPHONE_UIDが同じ名前になるのでX_JPHONE_UIDで送れば詐称できる可能性がある罠。 #wasf

Katsu Tatsu @kthrtty

UNIX系の環境変数を使うCGIの場合、ハイフンが使えないので、アンスコに変換するのは定石。そこに落とし穴がある。 #wasf

水無月ばけら @bakera

核心に迫ってきた……。 #WASF

Nat Sakimura/崎村夏彦 @_nat

SSL接続で得た携帯IDは危ない。ゲートウェイ付与型：ゲートウェイでヘッダ書き換えができない。 #wasf

@man5e

携帯サイトとか作らないしなぁ(´・ω・) #wasf

@nsiena

「IPアドレスでのキャリア判定は確実ではない。公式情報の不在 →他キャリアと統合したサイト構築の方法は保証外。/ SSL接続で得たID はそのまま届く。任意に変更可能な場合に危険。HTTP/SSL のページを提供していないつもりでも稼動してしまっている場合もある。 #wasf

Nat Sakimura/崎村夏彦 @_nat

@kthrtty bearer token じゃだめというのは言い過ぎだな。公開された bearer token は駄目だに訂正します。携帯の固有番号はそれです。 #wasf

'ash' - T.ASHIDA @ash7

高木先生が淡々とにこにこしながらコワイ話を次々と繰り出す件。生だと威力倍増ｗ #wasf

Katsu Tatsu @kthrtty

ひろみつさ曰く、IPアドレスリストの更新・告知の運用はあまりにもお粗末。某ポータルのエンジニア曰く、PDFをparseして、dailyで取得してリストに登録してる。苦肉のさくすぎる #wasf

Taisuke Yamada @tyamadajp

配った後で：「いま皆様が食べたクッキーの中には、模造品があります。食べた人は失格です」 QT @ash7: いま配るなら飴じゃなくてクッキーではないのか、という話はたしかにある。 #wasf

@nsiena

「キャリアIPアドレスの明確な情報。HTTP/SSLでの安全な提供方法がない。機械的に処理可能な明確な記述がない。使用IPアドレスの増減。などなど。 #wasf

@yobynop

サクサクと恐ろしい話が語られている #wasf

'ash' - T.ASHIDA @ash7

運営側で自信を持って試食したと @okdt が豪語していたので、別のトラップがあると思われRT @tyamadajp: 配った後で：「いま皆様が食べたクッキーの中には、模造品があります。食べた人は失格です」 QT @ash7: いま配るなら飴じゃなくてクッキーでは #wasf