端末ROCA高木さんの「素朴な」疑問に対して、果たして携帯Webアプリでセッションは安全かの議論が続いている。携帯電話からセッションIDの漏洩を防ぐCookieが使えない機種も多いのでGETパラメータにセッションIDを埋め込む手法への疑問と、端末IDの信頼性の二つが論点かと思うのだけど、ここでは後者をちょっと考えたい。いわゆる端末IDについてはこちらが詳しいのだけど、議論を整理すると、端末ID(もしくはユーザID)を安全足らしめるには次の要素が必要と考えられている。IPを制限して、各キャリアの携帯網からのアクセスのみ許可する。Mobileなどを搭載したスマートフォンなら、少なくともUser-AgentはNetFrontなどのブラウザ機能で簡単に変更できてしまう。設定をごにょごにょいじることで、携帯網にもアクセス可能だ。Universalという海外で発売されたSIMフリーのスマートフォンでSoftbankのSIMを挿してYahoo!ケータイが使えます。この場合、サーバからは一般の携帯からのアクセスとの違いはかなり気を付けていないと分からないはずだ。以下は普通にSoftbank携帯からWebサーバにアクセスして、CGIで環境変数を見たところ。マスクしてますが、User-Agentとx-jphone-uidが取得されたのが分かる。User-AgentのSN...ってのが端末シリアル番号ですね。次にスマートフォンからUser-Agentを偽装してリクエストしてみる。User-Agentの端末シリアル番号の下四桁が0000に偽装されているのが分かると思う。x-jphone-uidはNetFrontでは任意のヘッダーは追加できないので、そのままです。x-jphone-uidは基地局やゲートウェイが追加する変数ということになる。ここで、更に端末IDを安全足らしめる条件を追加してみよう。Softbankならx-jphone-uid、auならX-Up-Subnoということになると思うのだけど、仮にこれらが任意に端末から追加されていたら何も基地局やゲートウェイが書き換えたり削除しない仕様だとすると、端末IDは偽装放題ということになります。いわゆるユーザIDが最後の砦となっていると思うのだけど、果たして、このへんの実態はどうなんだろうか。簡単なWMアプリを作って確認すればすぐ分かると思うけど。(あ、auだけは安全かも。独自仕様過ぎて携帯網につながるスマートフォンがまだないので。出すって言ってたっけな)また、Webアプリの仕様の問題もある。実際User-Agentしか見ていなくて、スマートフォンから簡単にログイン可能になっているサービスを確認しています。これを脆弱性と呼ぶかどうか。IPAとかに連絡してもいいかも知れないけど、僕自身は以前に通報したらそんなの脆弱性とは呼ばないとか叩かれたりもしたし、実は普段の携帯とスマートフォンで便利に使い分けられてたりするので、今回はパスしますが。過去にはこの仕様でもOKだったんだけど、時代が変わって事情が変わってきたと言うところだろうか。Driftを買って触ってるんですが、これが何気によくできています。僕もよく知らなかったのでまとめておくと、Helioってのはアメリカの新興携帯キャリアで、韓国SKTelecomとEarthLinkの合弁会社で、いわゆるMVNOで展開しています。若者をターゲットにして、老舗では立ち上げにくい、かなり面白いサービスを展開しています。Driftのスペックは、2.12インチQVGA液晶、128Mメモリ、2Mピクセル内蔵カメラ、BlueTooth、GPS内蔵、CDMA1xEVDO対応となかなかです。この端末の一番の面白さはマルチメディア対応でしょう。動画や音楽のストリーミング再生が可能です。専用サイトから再生を始めるとプレイヤが起動し、ほんの数秒で再生が始まります。日本でいらいらしダウンロードし終わるのを待っていた身としては、新鮮な驚きです。最近の日本の携帯は詳しくないんですが、果たして国内携帯でストリーミングに対応しているものってあるのでしょうか?しかもさすが3Gだけあって画像も音質も途切れることなく、非常に安定しています。MP3プレイヤとしても動作可能です。GPSと連動して現在地からカーナビのまねごともしてくれるんです。Mapsが動くというのは驚きです。一般的なカーナビほどGPSの精度も追従性もよくないのですが、ちょっと道に迷った時などには十分使えるし、サテライトモードにも対応しているので、auあたりの地図機能よりも楽しいかも。英語版なのであまり使っていませんが、近くの施設検索とも連動しているので、地元の人には便利でしょうね。いずれに機能もかなりネットワーク性能に依存しているにも関わらず、かなり軽快に動作しているのに感動しているのですが、EVDOという以外にMVNOならではの特性なのかも知れません。Liveにも対応したIM機能など、かなり欲張りに作られています。どれだけユーザに受け入れられるかは分かりませんが、一度は触ってみる価値大です。あちこちにショップはあるみたいなので、アメリカに来られた際には是非遊んでみて下さい。新鮮な驚きが待っていると思いますよ。