JP2012048693A

JP2012048693A - 携帯識別暗号化方式及びクッキーとｕｒｌ埋め込みの自動切換え方式を使ったログイン方式。

Info

Publication number: JP2012048693A
Application number: JP2010202437A
Authority: JP
Inventors: Takafumi Tanzawa; 崇文丹澤
Original assignee: Individual
Current assignee: Individual
Priority date: 2010-08-24
Filing date: 2010-08-24
Publication date: 2012-03-08

Abstract

【課題】携帯電話で、ＩＤとパスワードでログインする際に、クッキーを使うとクッキーが使えない機種が存在する現状ではそれを切り捨てなければならない。しかし、ＵＲＬ埋め込みの方式を用いるならセキュリティー上の問題があるので、できるだけクッキーを使うことが望まれる。クッキーが使える携帯機種が増えてきたので、この問題を解決したい。
【解決手段】クッキーが使えるか否かをプログラムでテストするのは簡単にできる。また、ＵＲＬ埋め込みの方式でも「携帯識別暗号化方式」を用いてある程度セキュリティーを強化することができる。しかし、基本的にはクッキーを使うのが最善なので、クッキーが使える場合にはクッキーを使い、クッキーが使えない場合にはＵＲＬ埋め込みの方式を使うように、自動で切り替える方式を組み合わせることによりセキュリティーを一層強化できる。

Description

本発明は、携帯電話でログイン状態を維持するためのログイン方式の技術に関する。

これまで、携帯電話ではクッキーが使えない機種が多く、ログイン状態を維持するために、ＩＤとパスワードをＵＲＬ埋め込み方式（ＰＯＳＴとＧＥＴとで引き渡す方式）で受け渡していた。しかし、クッキーが使える機種が増えてきた現状では、クッキーを使うのが最善である。
セッション管理の技術でクッキーとＵＲＬ埋め込み方式を自動で切り替える方法があるが、ここではセッション管理を使わないで、携帯電話に特化したパスワードの暗号化方式を使ったログイン方式を実現したい。

「岩本隆史の日記帳」ｈｔｔｐ：／／ｄ．ｈａｔｅｎａ．ｎｅ．ｊｐ／ＩｗａｍｏｔｏＴａｋａｓｈｉ／２００９１００２／ｐ１

携帯電話で、ログインする際にクッキーを使うと、クッキーが使えない機種が存在する現状ではそれを切り捨てなければならない。しかし、ＵＲＬ埋め込みの方式を用いるならセキュリティー上の問題があるので、その点も考慮しつつ、できるだけクッキーを使うことが望まれる。クッキーが使える携帯機種が増えてきたので、この問題を解決したい。

まず、パスワードを携帯固有の情報を使って暗号化する。下記のようにして暗号化Ｃを生成することをパスワードの「携帯識別暗号化方式」と呼ぶことにする。
会員パスワードを暗号化（ハッシュ化）したものを暗号化Ａ（ＳＨＡ１では４０桁）とする。
下記の情報（１）（２）（３）を合わせて暗号化（ハッシュ化）したものを暗号化Ｂ（ＳＨＡ１では４０桁）とする。
（１）携帯電話のＵｓｅｒＡｇｅｎｔ
（２）携帯電話の識別番号（固体識別番号、サブスクライバＩＤ、ユーザーＩＤ、シリアル番号など、簡単に取得可能なものはすべて取得する）
（３）ログインした時の時間的な情報（その時刻、その日、その週、その月のいずれか１つを示す情報）
暗号化Ａと暗号化Ｂを適当な規則により組み合わせて、パスワードの暗号化Ｃ（ＳＨＡ１では８０桁）を生成する。
また、ＩＤと暗号化されたパスワードの引渡しは次のようにして行なう。クッキーが使えるか否かはプログラムで実際にクッキーの書き込みと読み込みを行なってテストする。クッキーが使える場合にはＩＤとパスワード（暗号化Ａ）の引渡しにクッキーを使い、クッキーが使えない場合にはＵＲＬ埋め込み方式でＩＤとパスワード（暗号化Ｃ）を引渡す。これを自動で切り替えて行なう。

本発明は次のような効果を奏する。
携帯電話でクッキーが使える機種が増加してきている現状で、クッキーをできるだけ利用しつつ、まだクッキーが使えない機種にも対応させることができる。こうすることにより、ほとんどすべての携帯やｉＰｈｏｎｅなどにも対応するログイン状態の維持が可能となる。
ＵＲＬ埋め込みの場合でもサイトに外部サイトへのリンクを貼らない限リファラースパムの危険性はない（脆弱性はない）。しかし、最新のドコモのｉモードプラウザー２．０はリファラーを送信するので、クッキーを使うならさらにセキュリティーが強化される。
もちろん、仮にパスワードが盗まれても、携帯識別暗号化方式により暗号化されているので他の携帯から悪用される可能性はきわめて低い。ＵｓｅｒＡｇｅｎｔの種類だけでも相当の数に及ぶからである。加えて、時間的な情報によりパスワードの有効期限（次の週までなど）も設定できる。
さらに、クッキーが使える携帯機種でクッキーがオフの設定になっている場合でもログインできるというメリットもある。
本発明には、携帯電話に固有の暗号化方式「携帯識別暗号化方式」と、クッキーとＵＲＬ埋め込みの自動切換え方式とを組み合わせることにより、セキュリティーを一層強化できるという効果がある。そして、何よりも、クッキーが使える時には簡単にログインできるという最大のメリットがある。

ｐｅｒｌ言語などでプログラミングするが、クッキーが使えるか否かを判別してＵＲＬを出力する。会員ＩＤとパスワードでログインする場合の例を下記に示す。
（１）クッキーが使える場合
ＩＤとパスワード（暗号化Ａ）をクッキーで受け渡す。ＵＲＬは下記のようになる。
ｈｔｔｐ：／／＊＊＊＊＊＊＊＊＊．ｃｇｉ？ｉｄ＝ｇｕｅｓｔ＆ｐａｓｓ＝ｓｅｃｒｅｔ
ここで、「ｇｕｅｓｔ」、「ｓｅｃｒｅｔ」はＵＲＬ埋め込みではなくクッキーで受け渡していることを表す。もちろん、「ｉｄ＝ｇｕｅｓｔ＆ｐａｓｓ＝ｓｅｃｒｅｔ」は表示しなくても良い。
（２）クッキーが使えない場合
ＩＤとパスワード（暗号化Ｃ）をＵＲＬ埋め込みで受け渡す。ＵＲＬは下記のようになる。
ｈｔｔｐ：／／＊＊＊＊＊＊＊＊＊．ｃｇｉ？ｉｄ＝（会員ＩＤ）＆ｐａｓｓ＝（ハッシュ値−ＳＨＡ１では８０桁）

Claims

携帯電話でログイン状態を維持する際に、パスワードを「携帯識別暗号化方式」を使って暗号化し、かつ、ＩＤとパスワードの引渡しをクッキーとＵＲＬ埋め込み方式とを自動で切り替えて行なう方式。