まず、セキュリティ事故の事例から。
かんたんログイン方式で漏洩事故が発生
http://takagi-hiromitsu.jp/diary/20101025.html
によりますとUAやヘッダを変更できるブラウザにより、UID（ez番号など）を騙ることで他ユーザの個人情報が閲覧可能とあります。
ですが通常ガラケーでのアクセスは必ず特定のGWを経由して行われ、GWのIPは公開されています。
そこで質問です。
・公開されるIP帯域からのアクセスで、偽の端末からかどうかの立証は不可能なのか
・これらの公開されるIP帯域にはガラケー以外にiPhoneやPCなどのUA偽装できる端末が侵入する可能性があるか
・これらのIP帯域以外からガラケーがiモードなどのサービスより携帯向けwebにアクセスすることはあるか
以上です。
簡単に言ってしまえば「ガラケーサイトにおいて、IP認証→UID（サーバが吐き出すもの）認証」で個人認証は完了するのか、または何かセキュリティ的に考慮しなければいけないことがあるのか、です。
サーバの技術に詳しい方、回答を願います。
No.2
966
247
100pt
質問文の高木浩光さんのページの URL が記載されているので、そこを丁寧に読んでいけば分かることもありますが、
・これらの公開されるIP帯域にはガラケー以外にiPhoneやPCなどのUA偽装できる端末が侵入する可能性があるか
b_wind さんが書かれている件が、下記のページに書いてあります。
http://takagi-hiromitsu.jp/diary/20100425.html
iPhone どころか PC からも使えるようなので、
・公開されるIP帯域からのアクセスで、偽の端末からかどうかの立証は不可能なのか
不可能と考えて良いでしょう。Docomo と au でも同様の事がある、という話は見つけられていないので、Docomo と au だけに絞れば、PC から接続される事は無いかも知れません。
＞さらに言えば技術的にはIPアドレスの詐称も可能
ここかなり重要です！
闇プログラマーはIPアドレスを偽装可能だそうですが、そういう話ではなく。IPアドレスを詐称し、インターネット経由で通常のwebサイト閲覧が可能なのか、更に言うならそれは一般的な手段で可能なことなのか、などなど。具体的に教えていただければ幸いです。
例えば、送信元 IP アドレスを査証したパケットを送信するのは簡単ですが、実際に査証した IP アドレスで通信できる（TCP のコネクションが成立する）状態にするのは、サーバそのものを乗っ取られる、あるいは、そのサーバがあるネットワークのルータ等や、キャリアのネットワーク設備に欠陥（運用上の欠陥を含む）がある、といった状況でない限り、不可能と考えて差し支えないぐらい、現実には難しいです。
かんたんログインにまつわる話は、下記の記事がまとまっていると思います。
【レポート】"かんたんログイン"のセキュリティ問題とは何なのか? - WASForum 2010 (1) 「かんたんログイン」で指摘される問題性 | ネット | マイコミジャーナル
No.1
3344440
30pt
・公開されるIP帯域からのアクセスで、偽の端末からかどうかの立証は不可能なのか
サイト運営側からは不可能。
さらに言えば技術的にはIPアドレスの詐称も可能なのでこれを前提とする議論は危険。
（実際にどの程度起きうるかは別として）
これらの公開されるIP帯域にはガラケー以外にiPhoneやPCなどのUA偽装できる端末が侵入する可能性があるか
うろ覚えで申し訳ないが、確か Softbank でそういう事例があったかと。
iPhone のAPNを変更してアクセス、だったとおもう。
・これらのIP帯域以外からガラケーがiモードなどのサービスより携帯向けwebにアクセスすることはあるか
数は少ないがある。
日本通信のIPアドレス帯域を教えてください。
iモードブラウザ、フルブラウザともに以下のアドレスになります。
202.32.159.240/28
あとはアプリ版フルブラウザの類は基本的に、アプリ提供のプロキシ経由で各サイトに接続する形態となる。
（たいていの場合アプリからの直接通信は禁止されているため）
＞さらに言えば技術的にはIPアドレスの詐称も可能
ここかなり重要です！
闇プログラマーはIPアドレスを偽装可能だそうですが、そういう話ではなく。IPアドレスを詐称し、インターネット経由で通常のwebサイト閲覧が可能なのか、更に言うならそれは一般的な手段で可能なことなのか、などなど。具体的に教えていただければ幸いです。
また、
＞iPhone のAPNを変更してアクセス
は本当に可能なのか。（APNを変更すればダイアルアップ成功までは行くでしょう。ですが、その後パケット通過は可能なのか？）、また
日本通信SIMでiモードサービスを利用することは、docomo端末キャリアもしくはサービス提供者にとって想定範囲の仕様なのか、「別キャリア」として扱われるのか、など。
質問では描き切れてないですが、不明瞭な点はまだまだ多いです。
もっと、情報を求みます！
No.2
966247
ここでベストアンサー
100pt
質問文の高木浩光さんのページの URL が記載されているので、そこを丁寧に読んでいけば分かることもありますが、
・これらの公開されるIP帯域にはガラケー以外にiPhoneやPCなどのUA偽装できる端末が侵入する可能性があるか
b_wind さんが書かれている件が、下記のページに書いてあります。
http://takagi-hiromitsu.jp/diary/20100425.html
iPhone どころか PC からも使えるようなので、
・公開されるIP帯域からのアクセスで、偽の端末からかどうかの立証は不可能なのか
不可能と考えて良いでしょう。Docomo と au でも同様の事がある、という話は見つけられていないので、Docomo と au だけに絞れば、PC から接続される事は無いかも知れません。
＞さらに言えば技術的にはIPアドレスの詐称も可能
ここかなり重要です！
闇プログラマーはIPアドレスを偽装可能だそうですが、そういう話ではなく。IPアドレスを詐称し、インターネット経由で通常のwebサイト閲覧が可能なのか、更に言うならそれは一般的な手段で可能なことなのか、などなど。具体的に教えていただければ幸いです。
例えば、送信元 IP アドレスを査証したパケットを送信するのは簡単ですが、実際に査証した IP アドレスで通信できる（TCP のコネクションが成立する）状態にするのは、サーバそのものを乗っ取られる、あるいは、そのサーバがあるネットワークのルータ等や、キャリアのネットワーク設備に欠陥（運用上の欠陥を含む）がある、といった状況でない限り、不可能と考えて差し支えないぐらい、現実には難しいです。
かんたんログインにまつわる話は、下記の記事がまとまっていると思います。
【レポート】"かんたんログイン"のセキュリティ問題とは何なのか? - WASForum 2010 (1) 「かんたんログイン」で指摘される問題性 | ネット | マイコミジャーナル
やっぱり、今回のあれは「ガラケーの帯域にiphone/PCが混入している（ことをみんな知らなかった）」ことによる事故だろう、という認識でよさそうですね。ソフトバンクはこのことについて、docomo/auと仕様を同じにしようと思わないんでしょうかね？
やっぱりIP詐称は通常ありえない、と見ていいんですよね。良かった、闇プログラマーはいなかったんだ。
No.3
6013
30pt
IPアドレスの詐称については以下のページなどで紹介されています。「IPアドレス 詐称」などでググると更に情報を得られるかも知れません。
iPhoneのAPNの変更についてはアップルのサポートにて(条件を満たせば)編集可能であることが示されています。「iPhoen APN 編集」でググると更に情報を得られるかも知れません。
＞IPスプーフィング
http上ではほぼ不可能な攻撃手段であろうことが分かりました。
特に闇プログラマーを恐れる必要はなさそうです。
＞APN編集
これは、iPhoneに限ったことではなくandroidでもwindowsMobileでも可能な話です。古くはwillcomのどこでもWi-fiとかで使った技です。
ですが、編集可能なこととそれで通信が行えるかどうかは全く別の問題だと認識しています。APN編集で書き換えられるのは「ゲートウェイ」までの道です。ゲートウェイはそのものもんですから、門番さんがその通信を通すかどうかの判断をしているはずです。iPhoneにおいては、接続先を変えるだけで門番さんはスルーしてくれる「のかもしれません」が、セキュリティ上認証されていない端末からのパケットを流すことは想像しづらいです。
実体として、どうなってるかをお教えいただければ幸いです。（実際にやってみた人のblog記事とか）
No.4
30
30pt
> やっぱり、今回のあれは「ガラケーの帯域にiphone/PCが混入している（ことをみんな知らなかった）」ことによる事故だろう、という認識でよさそうですね。ソフトバンクはこのことについて、docomo/auと仕様を同じにしようと思わないんでしょうかね？
表題の記事の事件は単純に該当サイトがIPアドレスによる制限を行っていなかったのが根源的な原因かと思います。決してガラケーの帯域に混入したわけではないと思います。
なにせ該当サイトは未だにPCでアクセスできますので・・
ここ→ http://m.9625.jp
ありがとうございます。私もケータイセキュリティについてはそんなに詳しくなく、認識が混同していることもまだまだたくさんあります。
調べたところ、softbankにもez番号に相当するものが存在するようで、$_SERVER['HTTP_X_JPHONE_UID']がそうらしいのですが、これは流石にiphoneとかで書き換えてもサーバ側が上書きしてくれるような仕様になっているそうですね。
従って、今回のクロネコのあれは単純に設計の問題だと言えそうです。（しかし、セキュリティ考慮せずにこういうの作るのってどうなの？）
22
21
1
2
やっぱり、今回のあれは「ガラケーの帯域にiphone/PCが混入している（ことをみんな知らなかった）」ことによる事故だろう、という認識でよさそうですね。ソフトバンクはこのことについて、docomo/auと仕様を同じにしようと思わないんでしょうかね？
やっぱりIP詐称は通常ありえない、と見ていいんですよね。良かった、闇プログラマーはいなかったんだ。