UDID関連の護身用メモ - Narusaseの日記 -ハニポってどうよ？(仮)-

開発関連で企画方面と見解の相違があったので護身用にメモを残しておく。

「偽装が可能なudidを信用するのは事故の元だからヤメレ」
と言う意図の発言をしたが受け入れられなかった。

とりあえず、そこら辺の周辺情報を調査をして再度声を上げるかのぉ･･･

■iPhoneの個体識別番号にセキュリティ上のリスクはないのか? - 専門家が指摘 | 携帯 | マイコミジャーナル
 http://journal.mycom.co.jp/news/2010/10/06/065/index.html

68%がアプリとインターネット上のバックエンドサーバとの間でUDIDの交換を行っており、さらに18%については通信内容が暗号化されておりどのようなデータがやり取りされているのか不明だった

つまり、68%は平文で、18%は暗号化してUDIDを送信しているということ。
脆弱なソフト使ってると、盗聴されたら一発でUDIDを特定されるって話だ･･･

■高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
http://takagi-hiromitsu.jp/diary/20090802.html
ニコニコ動画の「マイリスト」UDIDに関わるマイリストがのぞける脆弱性の話、セッションIDとして使っちゃダメって話

■Togetter - 「UDID他についてソフトバンクモバイルCTOとのやりとり」
http://togetter.com/li/30508
電波チェッカーのUDIDの問題の話では
・UDIDがあればその人の登録位置情報を地図上で閲覧できてしまう脆弱性がある
・Appleはストアへのアプリ登録において、UDIDを使用する場合には利用者の個別同意確認をするよう求めている
・「アプリ初回起動時に乱数で十分に長い専用のIDを生成して、それを記憶し、次回以降そのIDを送信して使用」する方式が推奨される
・また、一定期間利用がないデータをsweepするのが理想的
・UDID方式では端末を他人に譲渡した際に被害が出る危険がある
との高木浩光氏の発言もある

■OpenPNE 3.5.3 での「かんたんログイン」の端末固有IDからの（部分的）脱却で困った点 | co3k.org
http://co3k.org/diary/8
・PHP の srand() 関数は Mersenne Twister のアルゴリズムを使っており、予測可能な乱数を生成するのため、認証用のID の生成にはに使えません

追記：
■今こそケータイID問題の解決に向けて
http://takagi-hiromitsu.jp/diary/20100619.html
jailbreak済みのiPhoneに「UDID Faker」をインストールすることでUDIDの偽装が可能

■twitter
http://twitter.com/#!/jazzyslide/status/33365275185250304
「Appleの規約でUDIDは第三者に渡したり、広告表示やアプリのサービス目的以外に利用できないはずなんだけど、、、じゃあどうやってサードパーティツールは計測するんだろう、、、？」
正しいならUDIDを第三者が投げつけてくるようなサービスは作れないと言う話になる･･･

■Togetter - 「楽天銀行アプリがUDIDを使用していた件 - UDID使用の是非とSSL利用目的の変遷」
http://togetter.com/li/92594
これはUDIDに関してはどちらかというとプライバシーの問題

■アプリから個人情報流出か　スマートフォンで米紙調査
http://www.47news.jp/CN/201012/CN2010121801000579.html
米国では携帯電話固有の識別番号＝UDIDや位置情報は個人情報と言う扱いのため、都度、ユーザ確認が必要ということ？