「SoftBank」タグアーカイブ

2010-04
03
01:48:15
ああ、これで日本のケータイWEBが終わる


SIMロック議論にとっては慌ただしい一日だった。
Softbank松本氏の説明会に始まり、総務省のヒアリング、フリーライターたちのUstream座談会(まあ議論の場ではなかったね)と続いた後に(どれもUstreamやTwitterで中継してもらえたのは有り難かった。この場を借りて関係者にお礼申し上げます)、政府は早々に原則SIMロック解除の方針を打ち出した。

ユーザーの求めに応じてSIMロックは原則解除へ、総務省の公開ヒアリングで結論

方針は原則一律禁止との方向性のようだ。できれば既存の出回っている端末もロック解除したいらしい。
個人的には併存がよいと思うのだけど、恐らく官僚ではなく政治主導とやらで拙速に決めつつあったのではないかな。

まあその結論でもよいと言えばよいとも思うのだけど、ただこれでほぼ「日本型ケータイWEB」の崩壊もほぼ決まったようなものだ。
SIMフリー化によって他社回線で端末が使われる可能性を考慮しなくてはならなくなった。つまり日本のケータイWEBを脆弱に支えてきた端末ID(サブスクライバーID、個体識別番号)はもうこれまでのコンテキストにおいても信用ならないものとなることが確実になった。

繰り返すが現在のケータイWEBで端末IDをかろうじて信頼できるのは

(1) そのアクセスがそのキャリアの携帯網からのみであることをサービスプロバイダーが保証すること
(2) 携帯網では端末IDが偽装されていないことをキャリアが保証すること
(3)  端末の自由度を低くして端末IDの偽装などの可能性をできるだけ低く保つこと

という三要素があるからだ。
詳細はまた別のエントリーに回すとしても、この三位一体が崩れることでその端末IDが偽装されていないことを確実に保証することはほぼ不可能になる。
つまり完全SIMフリー化後のケータイWEBでは端末IDという「認証」を用いることはできなくなるはずだ。

まあ、しらばっくれてこのまま突き進むことも考えられるが、一体キャリアはどうするだろうね。
なおこれらは従来の「ガラケー」(およびガラケー向けアクセスポイント)での問題であって、スマートフォン系は「まだ」影響は受けない。

今後総務省でガイドラインを策定するとのことだが、上記に気付いた時果たしてどのような対応にするんだろうか。あるいはまるで気付かずスルーの可能性も高いけど。
もしそうなら、「結局得をするのは裏を分かっている犯罪者たちばかりなり」ということになってしまうんだろうか。

2010-04
01
22:55:41
SIMロック解除よりもアクセスポイントの解放こそが有効だ


Xperia発売やauの新スマート”ブック”(笑)発表の影響もあるのか、最近SIMロック論争がTwitterなどを中心に活発に行われている。
また明日総務省がSIMロックに関してキャリアやメーカー、消費者団体を招いてヒアリングを行うとのことなので、この話題はまだもう少し続くことになるだろう。

SIMロック解除だけでは不十分

これら一連の議論で「SIMロック解除がガラパゴス状態を改善する」との簡単な論理には幾分不安を感じる。消費者からすれば重要なことは「キャリアのガラパゴス政策が緩和されて、現在国境やキャリア観で分断されているサービスや機能が水平分業的に解放される」ことだと思っているのだが、先のSoftbank松本氏昨日行われたau説明会でのキャリア側の言い分からは、仮にSIMロックが解除されても(ロック完全禁止であろうと一部禁止であろうとも)キャリアの対応によって骨抜きにされてしまう可能性が高い。
キャリア側の言い分は、仮にSIMロックを解除してもそもそもiモードなどのサービスがキャリアごとに違うのでほとんど意味がない、というものだ。そしてこれは実はほぼ正しい。
先日書いたように端末ID(サブスクライバID、個体識別番号)の仕様もキャリア毎に異なるので恐らくサービスプロバイダーの対応も複雑になるだけであまりメリットが無く、そもそもSMSのキャリア間送受信もまだ行われておらずdocomoのようにそもそもMMSも持っていずiモードのように他社ではとても対応できないようなサービスを提供していたり、WAP(ブラウジング)のような国際標準に対応しない端末が大量に出回っていたり、SIMを抜いてしまうと端末自体が全く動作しなくなったり、はたまた例えば購入したコンテンツがSIMに紐付いているのにフォーマットが異なるので他社や他機器では再生できない、などなど。要するに「よもやSIMロックが解除される事態が来るとは思ってもいなかった」事態が多発することだろう。
もちろんこれは、「そうであればサービスを共通して使えるようにしろよ」という話でもあり、この10年囲い込みにしか情熱を燃やしてこなかったキャリア各社の怠慢であり責任としか言えないのだが、これを逆手にとって仮にSIMロックが解除されても「ほらサービスが使えなくなっただけでしょ。SIMロック解除なんて有害なだけだったでしょ」という開き直りとも言える施策を取る公算が大変高い。
つまりSIMロック解除という点だけに注力するとまんまとサービスの非互換性を逆手にとってSIMロック解除を骨抜きにしてくるだろうな、というのが僕の読みである。

であるならではサービスも共通化して解放せよ、というのがまっとうな意見ではあるのだが市場にこれだけ溢れているガラケーを考えると、単にそう主張するだけなのも実効的ではない。
そこで僕の意見は、SIMロック解除だけを主体にするのではなく(但し今後の端末を考えればこれも重要だ)、各キャリアのアクセスポイント(AP)解放要求を主体に置くべきではないかと考える。
恐らくこの「アクセスポイント」とは何のことか気付いている人は少ないと思うので少し説明しよう。

アクセスポイントは何故日本では故意に隠されているか

一言で言えばWiFiで言うところのSSDのようなものだと思えばいい。つまり端末が通信を行う上でアクセスするダイヤルアップ先のだ。
普段、特に日本ではほぼこれの存在に気付くことはまず無い。何故ならこれは日本特有の現象なのだが、日本ではキャリアがどんなアクセスポイントを用意して端末に利用させているか隠しているからだ。

例えば海外製のスマートフォン(以下ではWindows Mobileの例)では以下のように通話やブラウザ(WAP)またはMMS(メール)向け接続のためにどのアクセスポイントに接続するか設定する画面が用意されている。
(因みにSIMフリーのiPhoneなら同様の設定がある)

アクセスポイントであるので、通常そのアクセスポイント名とユーザー名/パスワードを設定することで利用が可能になる。
海外ではスマートフォンに限らず通常の携帯でもこうした設定は存在している。しかし日本の携帯ではそうした設定を見たことのある人はほとんどいないだろう。なので恐らくケータイ関係のライターでも知らない人は意外に多いと思う。何故か?それは携帯側で「決め打ちで」自動的に設定してしまっているからだ(あるいはSIMにその情報が書かれていて自動設定する場合もあるようだ)。
では何故日本のキャリアはアクセスポイントを隠すのか。実は明確な理由はキャリアからは公表されないので正式には分からない。しかしSIMロックと同じように、「自社の端末と回線の組み合わせだけを間違いなく利用者に使用させたいから」という意図であろうことは容易に想像できる。つまりガラパゴスと揶揄されるのと同じようなキャリアによる囲い込み施策の一環である。

アクセスポイントは世界的には公開されてしかるべき

以下のURLの資料を見て欲しい。これは各国におけるアクセスポイントの一覧だ。

Carrier APN Settings


APN Settings for iPhone 3G

海外キャリアではほぼ例外なくこれら自社アクセスポイントの情報を公開している。これはSIMロックを行っている国でも同様だ。つまりSIMロックでの議論で言われるように「世界的にはSIMロックを採用している国の方が多い」という話とは明確に異なる状況だ。日本のまさしく特異な「ガラパゴス状態」を端的に表している例だと言えるだろう。

またユーザー名/パスワードも同時に公開されており秘匿はされていない。資料を見ても分かるように、パスワードと言っても複雑な文字列を設定している例はほとんど無く実態的にはパスワードをかけていることに意味は無い。まさしく「公開」されているのである。

1つのキャリアでも複数のアクセスポイントを使い分けている場合もある。良くあるのはWAP(ブラウザ)とMMS(メール)が異なる場合や、プリペイドかポストペイドかや定額制と従量制の場合など契約形態毎にアクセスポイントを指定している場合などだ。
つまりキャリアからすると使用されたアクセスポイントによってユーザーの利用形態や課金単位を変えたり判別するのに使用していると思っていい。

一方日本ではどうかというと、公開されていないものの、一部アクセスポイントの存在が判明しており一部ユーザーにより情報が公開されてしまっている。
実は判明しているのは従前から海外とほぼ同じ仕様を使用しているSoftbank(旧Vodafone)だけなのだが、それによれば通常の携帯網用AP以外にXシリーズと呼ばれるスマートフォンの定額用AP(通称open)やiPhoneはまた別のAPを使用しているようだ。また従量制のAPについては設定がそもそも必要になるのでこれは公開されている。
docomoとauはガードが高いらしく、これまで携帯網用のAPは明らかになっていない。しかしスマートフォン用APは別に用意されているらしく、また例えばdocomoでは一部moperaと呼ばれる接続サービスでPCデータ通信用AP(スマートフォン用ではないことに注意)は公開している。

アクセスポイントをフリーアクセスにすることで新たなエコシステムの確立を

ではアクセスポイントが公開されることで何が変わり得るのか。
前提はアクセスポイント情報が公開された上で「契約ユーザーが自由に自身の携帯やスマートフォンを設定して利用するのを認める」という点だ。ここで各キャリアの端末に縛られず自由に他社端末であろうと接続できることがポイントになる。
これでも先に述べたように各社サービスの非互換性は担保されない。レイヤーが異なるからだ。しかし端末の自由化がSIMロック解除以上に進むため、よりバラエティに富む端末やサービスの流入を呼び込む可能性が非常に高い。 但しこれは従来の携帯網向けアクセスポイントを解放すべきという話ではない。恐らくそれでは個体識別番号の脆弱性が顕在化し、従来のビジネスへの影響が非常に高い。海外では個体識別番号というものは存在しないので携帯網も公開されているのだが(というかそもそも携帯網とスマートフォン系という違いが存在しない)、残念ながらこうした過去の負債があるので日本では行えないだろう。
しかし各社は既に主にスマートフォン向けのAPを構築しつつある。Softbankはopenと呼ばれるAPやiPhone用APを既に持っているし、docomoもmoperaというプロバイダー事業でスマートフォンAPを用意している。auはこれまで無かったはずだが先日のISシリーズの発表でIS-NETというプロバイダーを発表している。これは恐らくスマートフォン向けのAPを用意することになるはずだ。
そこでこれらスマートフォン用と同様のフリーアクセス(課金が、という意味ではない)アクセスポイントを別に準備してもらうこととする。
但し例えばdocomoなどは従量制のAPを差して「既に利用できる」と言い張るかも知れない。しかしこのAPは従量制であるので利用料金は青天井だ。そこで他にスマートフォンなどで定額制を導入しているのならば同様の金額による定額制の導入は義務化することとする。

こうすることで従来の携帯網(すなわち「ガラケー」)を中心にした垂直統合型ビジネスモデルと、新たなフリーアクセス・アクセスポイントおよびSIMフリー端末による新たなオープンモバイル網が共存し、新たな競争原理が導入されることになる。前者の担い手は従来通りキャリアであり、後者の場合キャリアは通信部分に専念することになり担い手は端末メーカーかも知れず課金や認証含めたサービスプロバイダーまたは海外勢含めた業界全体という立ち位置になる。

残念ながら既存の「ガラケー・ビジネスモデル」はすぐに無くなるものでもなければ、また一気に無くしてしまうのは既に多くのユーザーを抱えている以上不要な混乱を起こすわけにもいかないだろう。また現状これ以上キャリアとしての競争相手が増えることも予想できず、カルテルとも言えるほど各社料金などが横並びの状態では大きな変化をキャリア自ら生み出すことは難しい。
しかし新たな競争軸を生み出すことは可能なのだ。そして自由度(端末やコンテンツ、価格の自由さと競争原理、参入の容易さ)が担保されれば必ずマーケットは動く。そして競争に晒されれば「ガラケー・ビジネスモデル」側も必然的に変化に迫られるはずだ。
まずはぜひこうした「アクセスポイント」という故意に隠された論点があることを知って欲しい。そしてそれは日本でのみ特異な扱い方をされている。
繰り返すが何故隠すかと言えば隠すことでそこから何らかのメリットを享受する人々が存在しているからだ。そうした視点を消費者としては手に入れるべきだ。

2010-03
30
01:11:50
結局SIMロック論議もオープンプラットフォーム構想も端末IDの話に尽きるのかも知れないなぁ


総務省がSIMロックの解除要請の方針を打ち出したと言うことで少し話題になっている。

携帯端末、全社対応型に 「SIMロック」解除要請へ

個人的な立ち位置を先に表明しておくと、僕は「SIMフリーも選択できるようにして欲しい」という立場。別にSIMロックを前提にしたビジネスモデルがあってもいいけど、ビジネスモデルを阻害するというキャリアの身勝手によって消費者がSIMフリーを選択できないのは問題だ、ということです。
「果たしてSIMロックがガラパゴスの元凶か」というのも論点になっているがそれは後として、 面白い論評をソフトバンクモバイル副社長の松本氏が述べているので先に簡単に触れておきたい。

携帯電話におけるSIMロック論争 – 松本徹三

皮肉なことにこの論評が述べているのが実は「キャリアがSIMフリーを排除したい」理由にもなっているという点だ。特に自身らのビジネスが如何にSIMロックを前提にしてしまっているか、気付いてか気付かずにか、大変に分かりやすく説明されている。

中段のさて、ここで問題の核心に入ります。というところまではいいだろう。ここまではまあまあ僕の上記の意見とも実は合致していて、「SIMロックもあればSIMフリーもある状況なら受け入れられる」という結論もまあ妥当だ。
しかしここから何故か「如何にSIMフリーは悪か」について説明が始まる。なお氏は「SIMロック解除がすべての端末で強制されれば」の前提で書かれているようだが本質的には「SIMフリー端末がキャリアに与えるインパクト」とも読み取れる。また先の読売の既報によれば契約から一定期間が経過した端末に限るとされている。
氏の論に依れば、日本のキャリアの端末・サービス・ 通信回線が三位一体で始めて現在のサービスが提供できるのだという。そしてそれが伴わなければ(1)各端末メーカーの互換テストが大変になる(2)キャリアにより使えないサービスが出てくる(3)3GよりWi-Fiを優先するなどの通信帯域を必要以上に使わない仕様に端末をしてもらう必要がある(4)端末助成金が無くなるので高くなる(5)(自由に使えると)不正に入手した端末の犯罪利用が増える のだそうだ。
しかし一読してもこれらを「SIMフリーが行えない」理由にするのは氏の立場を考えてもおかしいだろう。
まず(2)(4)は完全にキャリアの都合の話だ。キャリア間で互換性のないサービスを作り出してきたのはキャリア自身だ。また助成金はキャリア自身が生み出した仕組みだ。それをフリー化できない言い訳にすり替えるは厚顔無恥としか言いようがない。また(1)(3)も、では何故御社ではiPhoneを提供できているのだろう。そうであればAppleはiPhoneの計画段階からSoftbankにパートナーを決めていてテストを繰り返していたことになるが事実だろうか。決してそうではあるまい。更に言えばではこれらのことが他のSIMフリーを導入している国で問題になっているのだろうか。互換性と言うことで言えば、では何のために標準仕様(実装のためのノウハウも含む)が存在しているのだろうか。
こうした稚拙な論の最後に必ず持ち出されるのが(5)だ。「幸いにして」窃盗された端末が犯罪に使われた事例は当時大きく報道され問題化したので論としても張りやすい。しかし犯罪抑止というならそもそも携帯の存在自体が犯罪に使いやすい側面こそがあるわけで、それをSIMフリーのみに理由付けするのはおかしい。またであるなら、そもそも(PDCのような)「SIM脱却論」に発展させないのは何故なのか。つまりそこまではコストをかけたくない程度の問題意識でしかないということだ。であればSIMフリー論の足枷になるレベルでもないだろう。

ところでこの記事は「アゴラ」に投稿されている。池田信夫氏によればアゴラとは「Huffington Postのような「言論プラットフォーム」をつくる試み」であり「専門家が実名で発言することによって、政策担当者やジャーナリスト、あるいは一般市民との交流をはか」るのが目的とある。ある程度立場のある人々のあつまりであればある程度のポジショントークもやむを得ない面もあるだろう。しかしこうも露骨な「自社利益への誘導」を目的としたエントリーも許しているのだろうか。そうであればその言論プラットフォームとは何を目的としどこへ向かおうとしているのか、はなはだ疑問だ。

さてどうやらSIMフリーというのはキャリアにとっては随分嫌なもののようだ。恐らくその理由は「自らのビジネスモデルを阻害する」からだ。そして総務省が進めようとしているオープンプラットフォーム構想も随分とキャリアからの風当たりが強いようだ。これも同じく彼らのビジネスモデルを阻害するから、ということになるだろう。
ではそのビジネスモデルとは何なのか。その根本は何なのか。
そのためには少し日本のガラパゴスと呼ばれるビジネスモデルと技術的な背景の成り立ちについて考えてみる必要がある。

1999年にiモードが誕生した時1つの「発明」が生まれた。それが「端末ID」だ。サブスクライバIDや個体識別番号などとも呼ばれる。物理的にはSIMカードと紐付き論理的には契約単位や電話番号と紐付けられ、どの端末(または契約単位)からのアクセスであるかをWEBサーバー側へ知らせるために使用される。機能的にはただこれだけの単純なものだ。
しかしどの契約と紐付いているかは当然キャリアは把握できる。そして契約は当然口座やクレジットカードと紐付いている。そこで「端末ブラウザからのアクセスによる購買をキャリアが保証する」ビジネスモデルが生まれた。これが今日まで大成功と言わしめiモードの名を世に轟かせた「モバイルEC」の姿だ。その根本原理はその後10年間実は何も変わってきていない。発信された端末IDをキャリア(または公認され端末IDを受信できる公式サイト)がただ受け取り購買行為としてまとめられているだけだ。docomoに限らずその後現Softbank、現auまたイーモバイルも同様の仕組みを取り入れ公式サイトを中心に取り込んだ。
この仕組みは単純でHTTPやWEBアプリとの相性も良かったので簡単に広まった。またユーザーは4桁の暗証番号を入力するだけで(あるいは入力しなくても)購入が可能でまたキャリアの請求に合算されるのでECの付きものの敷居が低く受け入れられやすかった。
結果、日本は 世界で類を見ないほどの「モバイルEC大国」となった。
また購買に関わる以外でも端末IDは認証などに転用され、現在ではモバイルサービスを支える基盤となっている。

国際的にはこうした「端末ID」という考え方は(僕が知る限りでは)存在していない。キャリア回収モデルとしてはSMSで支払いをする、などのケースもあるようだが、多くの場合はモバイルECとはPCと同じように例えばクレジットカードを入力して行うもののようだ。
その点ではこの「端末ID型モバイルEC」のビジネスモデルは非常に優秀だったと言える。

しかし単純であると言うことは偽造も簡単だと言うことだ。例えば他人の端末IDを知り得てそれをECサイトに送り込めれば簡単に偽装可能となる。
そこでこの端末IDを完全なものにするには3つの条件が存在する。

(1) そのアクセスがそのキャリアの携帯網からのみであること。携帯網以外からのアクセスの場合には端末IDは偽装されている可能性がある。そのため各キャリアは端末がアクセスしてくるSRC IP(発信元IPアドレス)の一覧を公開している
(2) 携帯網は端末IDが偽装されていないことを保証しなくてはならない。すなわち端末IDはキャリア側ゲートウェイが付加すべきであり、例えば端末IDは通常HTTPメッセージ上に現れるがあらかじめ端末IDが付加されていた場合にはキャリア側ゲートウェイはこれを削除するか正す必要がある
(3)  端末の自由度が低いこと。例えば自由にユーザーがアプリを導入できる端末であれば端末IDの偽装を試みるアプリが開発されるかも知れない。(1)(2)を満たしていればほぼ偽装は出来ないと考えられるが、自由度を低くできればその危険性も低くできる

気付いて頂けるだろうか。この(1)から(3)を完全に満たすには、奇しくも松本氏の言うように「端末・サービス・ 通信回線が三位一体」でなければ不可能なのだ。
メーカー(端末)はキャリアの仕様に沿った端末のみを供給することで(3)を満たし、キャリア(通信回線)は(2)を満たし、プロバイダー(サービス)は(1)を保証する。
どれが欠けてもこの 「端末ID型モバイルEC」は成り立たない。

キャリア(や取り巻きのサービスプロバイダー)がもっとも恐れるのはこうした「単純な」技術に立脚したビジネスモデルが壊れることだ。これらは彼ら自身のエコシステム(必ずしも消費者中心のエコシステムでない点に注意)であり生命線だからだ。
そろそろ問題の正体が見えてきたようだ。
つまりSIMロックの議論とは純粋にSIMはロックされるべきか否かではない。キャリア側論者が問題をすり替える裏には必ず上記に繋がる何かがある。例えばSIMフリー端末が出回り、しかしキャリアの息がかからないことによって端末IDモデルを崩壊される足がかりにならないか、などの懸念だ。
また海外ではAppleに限らず端末メーカー主導でのビジネスモデルが盛んだ。これもやはり奇しくもiPhoneが日本型モデルによらずとも別のエコシステムを運用できてしまうことを実証してしまった。
キャリアからすれば「黒船携帯」はともかく、「ガラケー」だけは何としても死守したいに違いない。そのためにはSIMロック解除などと言う自分の島を荒らされる可能性のある行為は避けたいのが本音だろう。

では「ガラパゴスの本質とは何か」との問いには幾つか挙げられると思うのだけど(以前少しまとめたことはありますが)、もっとも端的にもっとも顕著に集約されているのがこの端末IDの仕様とそれへのビジネスモデルの寄りかかり方であろうと思う。
繰り返すが僕はただ自分の好きな端末を(多少の不便はあっても)自由に使いたいだけの消費者だ。キャリアやサービスプロバイダーの事情やましてやメーカーの世界進出なんてどうでもいい。しかしそうした当然享受できてもおかしくない「自由」がそれら関係各所の都合とやらで閉ざされているのであれば話は別だ。
こうした論議がオープンになされるのはこれまでの状況に比べれば全くもって健全な方向ではあるのだけど、得てして立場があったり何らかの「既得権者」との議論はまた得てして些細な各論に終始して不毛な議論に振り回されることがある。それは本質に触れられたくない人々も多いからだ。また特に気になるのは、成熟したマーケットに関わる議論だけにポジショントークが多いのは仕方がないのだけど、「消費者」という立場の人たちの声が少ないようにも感じる。
それだけに如何に議論を本質に近づけるか、そのために何を知るべきかの選択は非常に重要だと言える。そのためにもSIMロック議論だけに立ちとどまらずより広範囲な議論形成と論点整理が大切になるのだ。「賢い消費者」になるためにも。

2008-06
04
20:45:00
iPhoneはSoftBankから発売


正式決定したそうなので、一言触れておかないといけないだろう。
大胆予想!iPhone採用キャリアはここだ!
何だったんだ、この記事は!
まあまだDocomoからも出ないと決まったわけではないけど、このコメントでは可能性は薄そう。
他山の石として考えるならば、「寄らば大樹」とか「俺だけが知っている内緒話」とか「安全パイな考え方」とかが如何に危険かってことですかねぇ。
一応ここにいる素人はそんな気がしてたんだけども。
まあ後出しジャンケンなら何でも言えるってのもあるけど、多分彼ら全員が見逃していたことがあると思う。
だって、相手はジョブス殿下なんだから。ね。
やっぱ変な安定感より勢いが選ばれたんじゃないでしょうかね。

2007-02
26
11:03:00
携帯で端末ID詐称は可能かもしれない話


高木さんの「素朴な」疑問に対して、果たして携帯Webアプリでセッションは安全かの議論が続いている。
携帯電話向けWebアプリの脆弱性事情はどうなっているのか
珍しく間違った批判をしている高木先生
携帯電話からセッションIDの漏洩を防ぐ
Cookieが使えない機種も多いのでGETパラメータにセッションIDを埋め込む手法への疑問と、端末IDの信頼性の二つが論点かと思うのだけど、ここでは後者をちょっと考えたい。
いわゆる端末IDについてはこちらが詳しいのだけど、議論を整理すると、端末ID(もしくはユーザID)を安全足らしめるには次の要素が必要と考えられている。
1. SRC IPを制限して、各キャリアの携帯網からのアクセスのみ許可する。
2. 携帯端末の端末IDやUser-Agent環境変数はPCと違って変更不能
ところがこの1, 2は突破可能だ。
うちのようなサイトを巡回している人なら自明の理だと思うんだけど、Windows Mobileなどを搭載したスマートフォンなら、少なくともUser-AgentはNetFrontなどのブラウザ機能で簡単に変更できてしまう。
そしてまた、設定をごにょごにょいじることで、携帯網にもアクセス可能だ。例えば僕のHTC Universalという海外で発売されたSIMフリーのスマートフォンでSoftbankのSIMを挿してYahoo!ケータイが使えます。この場合、サーバからは一般の携帯からのアクセスとの違いはかなり気を付けていないと分からないはずだ。
例を示そう。
まず以下は普通にSoftbank携帯からWebサーバにアクセスして、CGIで環境変数を見たところ。
マスクしてますが、User-Agentとx-jphone-uidが取得されたのが分かる。User-AgentのSN…ってのが端末シリアル番号ですね。
CIMG0396.JPG
CIMG0398.JPG
次にスマートフォンからUser-Agentを偽装してリクエストしてみる。
20070225171647.jpg
20070225171719.jpg
User-Agentの端末シリアル番号の下四桁が0000に偽装されているのが分かると思う。
なおx-jphone-uidはNetFrontでは任意のヘッダーは追加できないので、そのままです。つまりx-jphone-uidは基地局やゲートウェイが追加する変数ということになる。
ここで、更に端末IDを安全足らしめる条件を追加してみよう。
3. 基地局またはゲートウェイが端末を認識してコントロールするIDを挿入すること
今回環境が揃わなかったのでテストできませんでしたが、Docomoで言えばuid, Softbankならx-jphone-uid、auならX-Up-Subnoということになると思うのだけど、仮にこれらが任意に端末から追加されていたら何も基地局やゲートウェイが書き換えたり削除しない仕様だとすると、端末IDは偽装放題ということになります。
つまりいわゆるユーザIDが最後の砦となっていると思うのだけど、果たして、このへんの実態はどうなんだろうか。
多分、簡単なWMアプリを作って確認すればすぐ分かると思うけど。
(あ、auだけは安全かも。独自仕様過ぎて携帯網につながるスマートフォンがまだないので。でも、近々出すって言ってたっけな)
また、Webアプリの仕様の問題もある。
実際User-Agentしか見ていなくて、スマートフォンから簡単にログイン可能になっているサービスを確認しています。
これを脆弱性と呼ぶかどうか。
IPAとかに連絡してもいいかも知れないけど、僕自身は以前に通報したらそんなの脆弱性とは呼ばないとか叩かれたりもしたし、実は普段の携帯とスマートフォンで便利に使い分けられてたりするので、今回はパスしますが。
# 過去にはこの仕様でもOKだったんだけど、時代が変わって事情が変わってきたと言うところだろうか。