ke-tai.org ケータイサイト開発に関わる記事・情報を紹介

近頃話題だったSIMロックを巡る話題について、ある程度の結論が出たようです。

結局のところSIMロック解除は来年2011年4月から、携帯電話各者の自主的な判断で導入を行う、という形に落ち着いたようです。

→　INTERNET Watch　SIMロック解除は「事業者による主体的取り組み」で、総務省がガイドライン案 [internet.watch.impress.co.jp]

→　ITmedia News　SIMロック解除は来年4月から、自主判断で　総務省ガイドライン原案 [www.itmedia.co.jp]

総務省としては、「少しでもSIMロックを解除した携帯電話が増えることを期待する」とコメントしているとのことで、なんだかずいぶん骨抜きな結論になったように思えますね。

なお、この決定をするにあたり、参考にしたと思われるヒアリング資料はこちらのページに公開されていました。

→　総務省　携帯電話端末のSIMロックの在り方に関する公開ヒアリング配布資料 [www.soumu.go.jp]

各社のスタンスなどが垣間見え、少し面白い資料ですので、興味のある方は見てみてはいかがでしょうか。

関連：

• SIMロックの是非を討論する「SIM LOCK in Japan2」が4月16日21時からニコ生およびUstで中継されるとのことです
• SIMロックを巡る最近のケータイ事情について
• 総務省が SIMロック解除を検討しているとのことです

昨日に続いて、Yahoo!ケータイのかんたんログインで成りすましを許してしまう問題についてです。

この問題を発表した徳丸さんからコメント欄に投稿をいただきまして、講演資料も公開しているとの情報をいただきました。

こちらの資料がわかりやすく、内容もかなり深く興味深いものでしたので、ぜひご紹介したいと思います。

→　HASHコンサルティング　WAS Forum Conference 2010講演資料　ケータイ2.0が開けてしまったパンドラの箱 [hash-c.co.jp]

大きな画面で読むには、アップ先のこちらのサイトから直接読むのが良いでしょう。
（フル画面表示もできます）

→　slideshare　WAS Forum 2010カンファレンス:ケータイ2.0が開けてしまったパンドラの箱 [slideshare.net]

全60ページもありますが、内容もストーリーがありドラマティック（？）で、かなり読み応えのあるものとなっています。

昨日の記事に書いたsetRequestHeaderメソッドでUserAgentの書き換えについても資料内に答えがあり、End-to-EndのSSLの場合のみ可能で、それ以外の場合は不可能なようです。
SSL以外ではひとまず機種判定で防ぐという対策はできるようですね。

ソフトバンクの端末はかなりわけのわからない状況になっている中、よくここまでの情報を調べまとめあげたと思います。本当にお疲れ様でした。

ケータイWeb開発に関わる方であれば、必ず目を通しておいた方がよい資料だと思います。

関連：

• Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題があるとのことです
• ケータイサイトのセキュリティチェック方法について解説された記事「自分でできるかんたんログインDNSリバインディング耐性のチェック」
• iモードブラウザ2.0の JavaScript機能とかんたん認証を利用した不正アクセスの方法について

以前、ドコモのiモードブラウザ2.0のJavaScript機能とDNSリバインディングとを組み合わせて、かんたんログイン認証で成りすましを行うという脆弱性を発表したHASHコンサルティング株式会社ですが、今回またソフトバンクの一部端末でも同様の問題が起きるという情報を公開したようです。

→　HASHコンサルティング株式会社　Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題 [hash-c.co.jp]

影響がある機種は2006年冬モデル以降となっているのですが、その多くはサーバやアプリでHostフィールドをチェックすることで対策が可能です。

これらの端末の場合は、ドコモのiモードブラウザ2.0と同じ脆弱性ですので、既に多くの方が対応済みかと思います。

参考：
→　ケータイサイトのセキュリティチェック方法について解説された記事「自分でできるかんたんログインDNSリバインディング耐性のチェック」 [ke-tai.org]

しかしながら、「2008年春モデル以降のシャープ製端末の大半」および「820N」「821N」「830CA」「940SC」（※現在のところ判明している機種であることに注意）に関しては、現状アプリ側での対策ができないようです。
（setRequestHeaderメソッドでHostフィールドを上書き可能なため）

取り急ぎアプリ側で取れる苦しい対応としては、ユーザエージェントで上記端末を判定して、非対応機種として弾くことくらいかなと思ったのですが、シャープ端末はシェアが大きいですし難しいでしょう。
またこれらの機種のブラウザのsetRequestHeaderメソッドでUserAgentが上書きできるかどうかが気になるところです。（もしこれができるなら、端末判定も信用できません）

もちろん、即日対応可能な内容ではないでしょうが、かんたんログインから他の認証方法に移るのが確実です。

上記のサイトでは、

・端末シリアル番号またはユーザIDなど端末固有IDをかんたんログインおよびセッション管理に使用しない
・かんたんログインを利用するユーザに「Ajax規制」を「許可しない」に設定するか、あるいは「スクリプト設定」を「off」にしないと、なりすましの危険性があると注意喚起する

を解決策・回避策として挙げています。

発見者の徳丸さんはいつもケータイ関係で重要な脆弱性を発表しておりスゴイですね。

関連：

• ケータイサイトのセキュリティチェック方法について解説された記事「自分でできるかんたんログインDNSリバインディング耐性のチェック」
• iモードブラウザ2.0の JavaScript機能とかんたん認証を利用した不正アクセスの方法について
• 国内ケータイ各社のcookie対応率がまとめられた記事「携帯Webのクッキー利用について調べてみたメモ」

ケータイコンテンツ作成者にとっては大きなニュースです。

昨日発表されたソフトバンクの2010年夏モデルですが、一部の機種で搭載されているブラウザがJavaScript(Ajax)に対応しているとのことです。

→　ケータイWatch　Yahoo!ケータイのブラウザが仕様改定、Ajaxなどに対応 [k-tai.impress.co.jp]

ドコモでは一足早く2009年夏モデル（iモードブラウザ2.0搭載機種）から、JavaScriptに対応しています。

ソフトバンクはそれを追う形となり、担当者の話では仕様的にも「NTTドコモのiモードブラウザ2.0に沿った形」との説明があったようです。

対応機種はいまのところ、944SH、945SHの2機種のようです。

auは今のところ説明はありませんが、もしかしたら同じタイミングで今年の夏モデルから対応しているのかもしれません。
詳しい端末仕様はまだ公開されていませんので、今後の発表に注目ですね。

ケータイサイトはブラウザの画面サイズや操作面での制約が多いため、少しでもユーザビリティを向上させることのできるAjaxとは親和性が高いと思われます。

対応端末のシェアが十分に上がれば、PCサイトよりもAjaxが活用される形になるのでないかと思っています。

関連：

• ドコモのフルブラウザのAjax対応状況
• ケータイサイトのセキュリティチェック方法について解説された記事「自分でできるかんたんログインDNSリバインディング耐性のチェック」
• iモードブラウザ2.0の JavaScript機能とかんたん認証を利用した不正アクセスの方法について

昨日のauの新モデル発表に続き、本日はドコモとソフトバンクの2010年夏モデルの発表が行われました。
ここ最近はソフトバンクがドコモの発表日にぶつける形で、同日に発表を行うという形が多いようですね。

まずはドコモです。
STYLEシリーズ10機種、PRIMEシリーズ4機種、SMARTシリーズ2機種、PROシリーズ1機種、スマートフォン3機種の合計20機種が発表されました。

→　NTTdocomo　2010夏モデルの主な特長 [www.nttdocomo.co.jp]

→　GIGAZINE　本日発表されたNTTドコモ2010年夏モデルの全機種全画像・前編 [gigazine.net]

→　GIGAZINE　本日発表されたNTTドコモ2010年夏モデルの全機種全画像・後編 [gigazine.net]

続いてソフトバンクです。
ソフトバンクは全機種twitter対応というラインナップを打ち出してきました。
音声端末13機種、データ通信端末1機種、フォトフレーム1機種、ネットワークカメラ2機種の合計17機種が発表されています。
既に発表済みの機種が3機種ありますので、20機種が夏モデルのラインナップとなります。

→　ソフトバンク　2010年夏モデル [live.mb.softbank.jp]

→　GIGAZINE　本日発表されたソフトバンクモバイル2010年夏モデルの全機種全画像・前編 [gigazine.net]

→　GIGAZINE　本日発表されたソフトバンクモバイル2010年夏モデルの全機種全画像・後編 [gigazine.net]

個人的にはドコモのWiFiルータが気になるところです。
（iPad 3Gモデルを予約してしまったのですが、早まったかもしれません。。。）

また、どちらも細かい端末スペックがまだ公開されていないためわかりませんが、JavaScriptへの対応がどの程度進んでいるかなど、コンテンツ制作側としても気になる点が多いです。

5月末から順次発売されていくようですので、機種定義追加などが必要なコンテンツをお持ちの方はご注意ください。

関連：

• auの2010年夏モデルが発表されました
• ドコモとソフトバンクが2009年冬～春モデルを発表しました
• auの2009年秋冬新モデルが発表されたようです