湘Nyan!のブログ一覧

セキュリティー上の問題が発覚したということで利用が停止されている日産EVアプリですが、いちいちPC用WEBにアクセスしてエアコンをONするのは面倒なので、事実上リモート機能が使えない状態といってもよいでしょう。　利用できない期間のZESP会費は返金してくれるのかな？？

スマートホンのアプリはJAVAで作られているのでソースコードを解析すればAPI（アプリケーションプログラムインタフェース）とそれに渡す引数は簡単な作業で解読可能。　日産EVアプリの場合API＋車両固有番号（VIN）　でリモート操作を受け付けていたとのことだが、問題はそのAPIの利用に認証作業がいらないこと。　ということは誰かのIDでサーバーにログインしてしまった後には、どのクルマでもリモート操作できてしまうことになります。　問題がわかれば対策は簡単。

ログインパスワードとは別に各ユーザーID固有のパスワードを生成して、APIの実行可否をその都度サーバーサイドで判断するようにすればよいだけ。　この方法はTVのリモート録画などで一般的に使われている方法であり、他人に操作されない方法としてはもっとも簡単な仕組みです。

セキュリティーに関する仕様上の欠陥があったことは仕方がないとして、それに対処するレスポンスがあまりに遅いのが気になります。いったい担当者は今何をしているんだ？？


（蛇足）
PC用アプリの場合はJAVAではないのでソースコードを解析したりAPIを利用することができないので問題はないようだ。　しかもSSL（セキュリティーソケットレイヤ）をかぶせてあるので、通信内容は暗号化され解読はほぼ不可能。