個体識別番号ROCA以前Twitterでもツイートしてたんだけど一部誤解があったのでこちらでまとめてみる。Passani)http://www.passani.it/gap/上記をもって「w3cが個体識別番号に駄目出し」としていたんだけど、多少事情が違った。実は上記には元になる対象文書がある。それがw3cのベストプラクティスだ。Web(以下GAP)はこのw3cのベストプラクティス(以下MWBP)への一種の「アンチテーゼ」として書かれている感が強い。それらの比較についてはこちらのページが詳しい。そのほとんどはモバイルWEBでの実装方法についてなので本稿の趣旨とは外れる部分も多いのだが、例えばMWBPではCookieについてこのように解説している。devices.(参考訳)[Cookies]Cookieが必ず使えると考えるなCookieはよくセッション管理やユーザーの特定に使用されるが多くのデバイスでは利用できなかったり正しい実装がされていない。ゲートウェイによってはCokkieを削除したりエミュレーションしている。ベストプラクティスと言いながら実は解決策は何も提示していない。これに対しGAPは非常に現実的だ。([URLREWRITING]).(参考訳)アプリケーションがCookieのみをベースにできるならそれは安全と見なしていいだろう。Cookieの利用が機能の要であるならその代替機能も必要とされるだろう(訳注:恐らくCookieが使えない場合のことを言っている)。URL-RewriteはCookieの代替に使用できる共通した方法だ。知られたセッションIDをURLへ付加しURL-RewriteでCookieと共存する方法を述べているのだが、その最後でこのようなことを提示している。[TRACKUSERS](参考訳)最後に、多くの場合キャリアのゲートウェイなどは特別なHTTPヘッダーを付加する。x-up-subnoといったもので電話番号や契約者番号を示している。これらのヘッダーをユーザートラッキングのためのユニークキーにしたりセッション管理のベースにすることは脆弱性をもたらしかねない。ここでいうX-UP-SUBNOとは日本ではauで利用されているサブスクライバーIDと同じだ。言及はないが、docomoのuid、SoftbankのX-JPHONE-UIDも同列と考えていいだろう。このコンテキストにおいては「日本のガラケー界は根本から駄目出しをされている」と言えるだろう。米国でもディベロッパーがユーザーの特定をあまり行っていない、そういうニーズが無いとは思わない。w3cが何故ここまで踏み込んだ言及が出来ないかは幾つか理由もあると思うのだけど(個別製品への言及は馴染まないとか。X-UP-SUBNOはクアルコムOpenwaveのWAPゲートウェイでの仕様である)、大きな理由として「ベストな方法が考えつかなかった」という点も大きいだろう。米国ではそもそも個体識別IDを送出しているキャリアばかりではない。共通した手法として利用できる環境ではない。Cookieに対応する機種や環境も(日本と同じく)100%では無いようなので結局のところよい方法が示せなかったのではないか。一方でこういうテクニカル文書もある。詳しくは参照してもらうとして、日本での脆弱な「ガラケー界」を見ている者としては少し口出ししたい気持ちにもなる。問題ではあるがよい方法が見つからなくて複数の手法を組み合わせる、または端末の特性によって切り替えるしかない、というのは日本と同じ状況とも言えるかも知れない。ユーザートラッキングや認証については米国(あるいは世界)においても共通した手法は確立されていないし誰もが困惑しているということになるではないか。(?)日本の「ガラケー界」はベストプラクティスならぬ「バッドプラクティス」の宝庫だ。見方を変えればそれはベストプラクティスの種の宝庫とも言える。した情報や経験が自由に交換され、国際的に包括されたベストプラクティスが熟成される環境が何とか作れないものか。した貢献が出来ていない点でも日本は「ガラパゴス」と呼ばれるのだろう。exploited..”について、コメント欄でも「単に使用できると言っているだけでは」との意見を幾つか頂いていました。Passani氏へ直接メールして聞いてみました。以下がその最初の返信です。option.RegardsLucaとの返答でした。いうことで、まずは「脆弱性になり得る」との参考訳を示したことについてお詫び申し上げます。「プライバシーの問題は特にヨーロッパ(彼はローマ在住の恐らくはイタリア人)では問題視される。オペレーターはパートナー(恐らく日本における公式サイトよりも厳しい業務提携先と推測)にしか『電話番号』は通知していないし、パートナー以外はIdentifier(例えばX-UP-SUBNOなどの個体識別番号)しか受け取れない」とのことでした。電話番号というのは多少驚くところですが欧米(他の地域は言葉の問題でよく分かりませんが)では一部のキャリアではパートナーへのサービスとして行っているようです。個体識別番号の取り扱いについては全く意に介していない様子でもありました。これはそもそも日本での「簡単ログイン」やセッション管理としての利用は一般的ではないため逼迫した問題化していないからだろうと推測します。以上より、本文については「日本のガラケー界は特に興味も持たれていなかった」として訂正しご解釈下さい。exploited”なんて微妙な表現しないでよー、とは思いますがそれはそれとして)ただ付け加えると、彼の経歴を見ると分かるのですが、実は長年Openwaveでエンジニアとして働いていた人物でもあります(現在はとある企業のCEOのようです)。元々のX-UP-SUBNOを生み出した会社です(その他の通知ヘッダー類についても)。故に個体識別番号のプライバシーやセキュリティ問題について聞くのはそもそも野暮だったのだろうというのが印象です。最後に、はてブのコメントなども見て多少気になったのですが、現時点において、ではモバイル認証によい方法がないのかと言えばそれは違います。Cookieを使えば良いだけです(Passani氏も指摘している通り)。これは日本でももちろん同様です。Cookieが全面的には利用できないというある意味限定された環境下でのプラクティスの話と言うことになりますので誤解無きようにお願いします。個体識別番号の取り扱いについては国や地域で状況やプライバシーへの考えなども違うので一概には言いにくいかも知れませんが、しかし日本での経験が有意義なものに転嫁できるはず、という点はやはり変わりないだろうとも思います。今回は相手が悪かったところもあるのですが(笑)、逆に如何に日本の実情が知られていないか伝えられていないかと言うことも肌で感じられたので、そうした取り組みが業界全体で行われるなら喜ばしいことだし重要な貢献であろうと思います。「利用可能である」でしょ。11:57脆弱性は意訳しすぎにしても(笑)、一般的には「悪用されうる」「不当に使えうる」でしょうね。言い回しで十分だったはず。management.これらのヘッダーは、ユーザートラッキングやセッション管理のベースにするためのユニークキーとして利用することができる。悪い意味はありませんよ。一方でこういうテクニカル文書もある。一方で、じゃなく、同じ流れです。22:35「悪い意味はありません」の論拠がまるで分かりません。someone.”何故「一般的ではない」用法に執着するのかがよくわからないです。そこまで気に障るならこんなコメント欄ではなく、反論記事書いたらどうでしょう。コメントをキャンセルメールアドレスが公開されることはありません。date*日本語が含まれない投稿は無視されますのでご注意ください。コメントデータの処理方法の詳細はこちらをご覧ください。