1. ガラケー×SSL
開発Tips
Tips
2011/10/27 高倉利明

2. 今日の内容
いまさらガラケー？
→現実的に案件はまだまだあるよね。

3. 今日の内容
なぜSSLに特化した話？
SSL
→PCサイト構築中心にやってた人は
甘く見がちだが、特にはまりやすい
のがSSL関連。

4. 今日の内容
目次
• テストサイトでも証明書買え！
• リダイレクトとSSL
• SSL下でのセッション維持

5. その１
テストサイトでも
証明書買え！

6. PC
PCの場合
→自己認証証明書でとりあ
えず確認できる。

7. ガラケー実機の場合
＼(＾o＾)／

8. 自己認証証明書では
ガラケー実機でSSLの確
認できない！

9. まとめ：テストサイトでも証明書買え！
•ガラケーサイトでは必ず認証局認証済みの
証明書を準備する必要がある
※特にauは勝手証明書アクセス全滅
•どこの証明書買えばいいの？
→迷ったらVeriSign

10. その２
リダイレクトとSSL

11. ・リダイレクト回数
・au×SSLリダイレクト時
のLocation指定

12. リダイレクト回数
キャリア（＆機種）毎にリダイレ
クト可能な回数がある
※エミュレータでは起きないの
で気づきにくい。

13. 一般的には
DoCoMo: 最大4回
（超えた場合は「無効なデータを受信しました」）
Softbank: 最大4回
（超えた場合は「このページは表示できません」）
au: 最大6回
（超えた場合は「このページへのｱｸｾｽは拒否されました」）
※非公式調査なので注意

14. で、リダイレクト回数が
SSLと関係あるの？
→大あり

15. SSLなしの場合
http://hoge.jp
→ http://hoge.jp/
→ http://hoge.jp/m/
→ http://hoge.jp/m/mypage
リダイレクト3回→セーフ

16. SSLだと
https://hoge.jp
→ https://hoge.jp/
→ http://hoge.jp/
→ http://hoge.jp/m/
→ http://hoge.jp/m/mypage
→ https://hoge.jp/m/mypage
リダイレクト5回→アウト

17. au×SSLリダイレクト時の
Location指定
au × SSL環境下の場合、リダイレクトの
Locationに相対パスで指定する必要があ
る。
※これもエミュレータでは起きないので気
づきにくい。

18. 例：PHPの場合
https://www.sample.com/aaa/ で～
<?php
header(locaiont”https://www.sample.com/aaa/bbb.php”);
?>
→502エラー
<?php
header(location:”bbb.php”);
?>
→正常にリダイレクト

19. まとめ：リダイレクトとSSL
•キャリア毎にリダイレクト回数制限がある＆
SSLかけるとリダイレクト回数増加
•au × SSLの場合、リダイレクトのLocationに
相対パスで指定する必要あり。
•エミュレータでは起きないのでテストフェーズ
まで気づかないことが多い
→回避するには大幅なプログラム修正要
→開発の早い段階で実機確認を行うべし。

20. その３
SSL下での
セッション維持

21. 前提
PCでのセッション維持
→Cookie一択

22. 前提
ガラケーでのセッション維持
→いろいろ
(1)セッションID
(2)UID
(3)Cookie

23. (1)セッションID
古くからある方法。
リンクパラメータでIDを引き回す。
http://hoge.jp/?sid=0011AABBCC....
問題点
リンクが分かればセッション乗っ取れる。
→「認証前にセッションを有効にしない」、
「Refererでの漏洩を防ぐ」「セッションIDの一
定期間での振り替え」などを考慮。

24. (2)UID (個体識別情報)
キャリア毎に用意されている回線契約や
端末に紐づくID。これを使用してセッショ
ン維持する。
注. 今回は説明割愛します。
※UIDに種類がいろいろあり説明が複雑にな
るのと、セキュリティ的に今後非推奨になって
いくと思われるので。

25. (3)Cookie
PCと同じように使う。Web標準。
問題点
以下の理由によりガラケーでは最近まであま
り使われていなかった。
•DoCoMoのiモードブラウザ1.0では使えな
い！ ※2009/6 以前発売端末
•SSL絡みの挙動 ※後述

26. ということで・・・
•Cookie使える端末
→Cookie
•Cookie使えない端末
→セッションID
T木先生もT丸先生も推薦。
セキュリティもばっちり！ b(^-^)o

27. よし、SSLで
テスト！

28. ( ﾟдﾟ)
ａu端末でセッショ
ン切れる・・・

29. HTTPで発行したCookieの
HTTPSとの共有
・DoCoMo できる
・Softbank できる
・au できない
※注．2011/10末 現在

30. DoCoMoの場合。。。
HTTP
HTTPで発行したCookieのHTTPS間
Cookie HTTPS
との共有ができる。
→しかしiモードブラウザ1.0端末
ではCookie使えない。。。

31. Softbankの場合。。。
HTTP
HTTPで発行したCookieのHTTPS間
Cookie HTTPS
との共有ができる。
※余談：旧仕様 2011/6/30で廃止
・HTTP接続：
http://hoge.jp/
・ HTTPS接続：
https://secure.softbank.ne.jp/hoge.jp/
→ドメインが違うので、Cookieを引き継げない。

32. auの場合。。。
HTTPで発行したCookieのHTTPS間との共
有はできない。
→理由
・HTTPS接続：端末にCookie保存
・HTTP接続：GWサーバにCookie保存
→普通に実装すると、 HTTP⇔HTTPSの遷
移でCookieが変わる
（＝セッションが引き継がれない）

33. auの場合。。。
設定時の条件 HTTPでの参照
HTTPでの参照
での HTTPSでの
HTTPSでの参照
での参照
HTTPで設定 ○ × （本来○であるべき）
HTTPSで設定
○ ○
（セキュア属性なし）
HTTPSで設定
× ○
（セキュア属性付き）
→このためセッション維持のためHTTPとHTTPS両方か
ら参照できるCookieを設定するためには、HTTPS側で
Cookieを設定する必要がある。
＝プログラム側で大幅な改造が必要。

34. 余談：2011年秋冬モデル以降は、こ
の縛りはなくなるものと思われる。
au/KDDIの「KDDI au: そのほかの技術情報 > Cookie」
→Cookieはブラウザ側に全て保存される予定。

35. 上記により以下のケースでセッション
維持方針がかわってくる。
(1)サイト全てをHTTPSページとする
場合 ※問題点あり
(2)サイトでHTTP、 HTTPSページを
使い分ける場合
※(1)の問題点
画面遷移やリダイレクト毎にいちいち「SSLで接続します」等のダイアログが出
てしまうので、UI的に非常にイケていない。

36. まとめ：SSL下でのセッション維持
(1)サイト全てをHTTPSページとする
場合
•Cookie使える端末の場合
→Cookie
•Cookie使えない端末の場合
→セッションID（等）

37. まとめ：SSL下でのセッション維持
(2)サイトでHTTP、 HTTPSページを
使い分ける場合
（ｉ） au以外
•Cookie使える端末の場合
→Cookie
•Cookie使えない端末の場合
→セッションID（等）

38. まとめ：SSL下でのセッション維持
(2)サイトでHTTP、 HTTPSページを
使い分ける場合
（ｉｉ） au
セッションID（等）を使用 ｏｒ
セッション維持用のCookieはHTTPSでセット・
変更する

39. まとめ：SSL下でのセッション維持
補足：
Ｃｏｏｋｉｅ使えない場合に「セッションＩＤ
（等）」としたのは、実案件ではUIDを併用
したセッション維持を行わざるを得ない
ケースも多いため。
※かんたんログイン etc

40. おさらい

41. まとめ：テストサイトでも証明書買え！
•ガラケーサイトでは必ず認証局認証済みの
証明書を準備する必要がある
※特にauは勝手証明書アクセス全滅
•どこの証明書買えばいいの？
•→迷ったらVerisign

42. まとめ：リダイレクトとSSL
•キャリア毎にリダイレクト回数制限がある＆
SSLかけるとリダイレクト回数増加
•au × SSLの場合、リダイレクトのLocationに
相対パスで指定する必要あり。
•エミュレータでは起きないのでテストフェーズ
まで気づかないことが多い
→回避するには大幅なプログラム修正要
→開発の早い段階で実機確認を行うべし。

43. まとめ：SSL下でのセッション維持
(1)サイト全てをHTTPSページとする
場合
•Cookie使える端末の場合
→Cookie
•Cookie使えない端末の場合
→セッションID（等）

44. まとめ：SSL下でのセッション維持
(2)サイトでHTTP、 HTTPSページを
使い分ける場合
（ｉ） au以外
•Cookie使える端末の場合
→Cookie
•Cookie使えない端末の場合
→セッションID（等）

45. まとめ：SSL下でのセッション維持
(2)サイトでHTTP、 HTTPSページを
使い分ける場合
（ｉｉ） au
セッションID（等）を使用 ｏｒ
セッション維持用のCookieはHTTPSでセット・
変更する

46. まとめ：SSL下でのセッション維持
補足：
Ｃｏｏｋｉｅ使えない場合に「セッションＩＤ
（等）」としたのは、実案件ではUIDを併用
したセッション維持を行わざるを得ない
ケースも多いため。
※かんたんログイン etc

47. 質疑応答

48. ご静聴
ありがとう
ございました。