携帯電話からWEBシステムへアクセスするときのセキュリティ向上 LUNARAVE WEBクリエーターの仕事と休息/ウェブリブログ

携帯電話からWEBシステムへアクセスするときのセキュリティ向上

<< 作成日時： 2006/09/01 12:20 >>

「WEB2.0」をいう言葉が出てきて、WEB上展開されるシステム・サービスは加速を増した気がする。

SNSやストレージサービスなど一般ユーザ向けに加え、「WEB2.0」という言葉に反応した企業担当者がWEBシステムに興味を持ち出した。

そんな中、仕事の中でもちらほら耳にするのが「○○システムを会社外からアクセスして使いたい」だ。

○○には在庫管理やカスタマーサポートなど、会社内で使っているシステムが当てはまる。
しかし、情報の漏洩がやはり気になって導入に踏み切れないようだ。

パソコンからのアクセスであればある程度セキュリティの向上は可能だが、スタッフ一人一人にパソコンを付与して、さらに外から通信できるようにするにはそれなりに費用もかかる。

そこで、手っ取り早く安価に済ませられるのが「携帯電話」を使ったアクセスとなる。

しかし、パソコンと違って携帯電話からのアクセスはセキュリティの面で不安な点が多い。

一時期、携帯でのVPN接続（仮想的な専用アクセス網）もサービス化されたようだが、こちらもそれなりにコストがかかる。

そこで、一つの案として「携帯電話の固有識別番号」を利用することにした。

「携帯電話の固有識別番号」とは、各携帯の機種ごとに与えられたIDのことでこれが重複することはないはず。
（携帯電話の固有識別番号が完全なユニークIDだと明確化されているわけではないし、メーカー製造時に重複する可能性が無いとも言えない）

利用方法としては、あらかじめアクセスされるサーバに「携帯電話の固有識別番号」登録しておき、登録されていない固有識別番号を検知すれば利用できないようにする。

プラスしてID、パスワードによる認証も加えればよりセキュリティが向上する。

まずはビジネスマンの普及率が高いドコモの携帯。

ドコモはHTMLタグ内に「utn」属性をつけると、固体識別番号を送信することができる。

ただし、固体識別番号の送信前に固体識別番号を送信するか確認画面が表示され、「YES」を押した場合のみ固体識別番号が送信される。

リンクやフォームから送信しようとすると「携帯電話の製造番号を送信します」と表示される。
　

utn属性は次のように付加する。

<A href="URL" utn>
<FORM method="メソッド" action="URL" utn>

送信されてくる固体識別番号はユーザエージェント（機種名）の後ろに付加される。

　ユーザーエージェント

「DoCoMo/1.0/N506iS/c20/TB/W2OH11/ser*********** 」（serの後ろが固体識別番号）

FOMAの場合は、カードの識別情報も送信されるようだ。
->DoCoMoサイト

次に学生の普及率の高いAU。

AUはHTMLタグに設定するのではなく、利用者が固体識別番号を「送信する」に設定しておけば毎回送信される。

固体識別番号は、環境変数「HTTP_X_UP_SUBNO」で取得することができる。

->AUサイト

最後に10月1日に社名が変るvodafone。

これはパケット通信対応機のみ固体識別番号を取得でき、こちらも利用者が設定しておけば常にユーザーエージェントに含まれた状態で送信される。

->vodafoneサイト

簡単なプログラムをPHPで作ってみた。

<html>
<head>
<title>携帯製造番号</title>
</head>
<body>

<?php
$mode = $_POST["mode"];

if(!empty($mode)){
?>
[ユーザエージェント]<br>
<?=$_SERVER['HTTP_USER_AGENT'] ?><br>
<br>
[AU用]<br>
<?=$_SERVER['HTTP_X_UP_SUBNO'] ?><br>
(Jは｢/Serial｣で囲まれて常に表示)<br>
<br>
<a href="index.php">[戻る]</a>
<?
}else{
?>
<form action="index.php" method="post" utn>
<input type="hidden" name="mode" value="1">
<input type=submit value="送信">
</form>
<?
}
?>

</body>
</html>