スマートフォンの暗号化ソフトウエアが相次いで登場し始めた。ターゲットは携帯電話事業者から続々と販売・発表されているWindows Mobile端末。いずれの暗号化ソフトも端末内の任意のデータを暗号化し，ログオンが成功しないと閲覧できないようにする基本機能を備えるが，管理や使い勝手に違いがある。

　NTTドコモの「HT1100」，「F1100」，ソフトバンクモバイルの「X02HT」，「X01T」，ウィルコムの「Advanced/W-ZERO3[es]」−−。各社からWindows Mobileを搭載したスマートフォンの発表や出荷が相次いでいる。こうしたスマートフォンを企業で使うとき，気になるのが情報漏えいである。端末が第三者の手に渡ったときに，内部のデータを盗み見られないようにしておかなければならない。

　こうしたニーズを察知してソフトウエア・ベンダーがWindows Mobile向けの暗号化ソフトウエアの販売を始めた（表1）。

　メトロやNECソフトなどが販売する「Pointsec for Pocket PC」，マクニカネットワークスが販売する「SafeBoot Device Encryption for Windows Mobile」は既に出荷済み。ただし，SafeBootは現時点では英語版である。日本で販売中のスマートフォンでの利用には機能に制限が残る。2008年初めに日本語化し，日本で出荷済みのスマートフォンに対応するバージョンを提供する予定である。また，富士通ビー・エス・シーは2007年末に暗号化ソフト「FENCE-Mobile」を出荷する予定。いずれの製品とも1ライセンス当たり1万円前後で販売される。

パスワード誤入力時の対応に違い

　暗号化ソフトの基本的な動作はどの製品も同じである。一定時間使用しないとロック状態になり，パスワードが合致しない限り，ファイルの参照やアプリケーションの起動ができない。ロック状態ではデータが暗号化されているので，悪意を持つ第三者が内蔵するフラッシュ・メモリーを取り出し，内容を読み取ろうとしても，パスワードが分からない限り読み取れない。

　無理やりパスワードを割り出そうとする攻撃への対策として，設定した回数を超えてパスワードを間違えるとログオンできないようにする機構（ログオン・ロック）を備える。

　ユーザーがパスワードを何度も間違ってしまいログオン・ロック状態になった場合の対応は，製品によって異なる。FENCE-Mobileは「管理パスワード方式」，PointsecとSafeBootは「チャレンジ-レスポンス方式」を採用している（図1）。

図1●チャレンジ-レスポンスを使ったデバイスのログオン・ロック解除 設定した回数を超えてパスワードを間違った場合，端末にログオンできなくなる。ログオン・ロックがされている端末に表示されている「チャレンジ」を使って，「レスポンス」を生成し，これを端末に打ち込まないとログオン・ロックが解除されない。 [画像のクリックで拡大表示]

　管理パスワード方式は管理者しか知らないパスワードを使ってログオン・ロックを解除する方法。管理パスワードが外部に漏れないように，ログオン・ロック状態の端末を管理者が回収して解除するのが一般的だ。

　チャレンジ-レスポンス方式では，管理者と遠隔地にいるユーザーとが電話で話すなどしてログオン・ロックを解除できる。ロックされた端末の画面に「チャレンジ」と呼ぶ乱数が表示されるので，これを管理者に伝える。管理者はチャレンジを使って「レスポンス」を生成する。レスポンスはチャレンジと管理パスワードから生成されるデータである。チャレンジが毎回異なるので，レスポンスも毎回違う値になる。第三者に知られても再利用できないため安全だ。管理者は生成したレスポンスをユーザーに通知し，ユーザーが端末に入力するとロックが外れる。

ロック時に特定番号への発信を許可

　ロック状態での発信や集中管理機能，機能制限などでも製品間に違いがある。

　端末がロック状態のとき，FENCE-Mobileは発信できないが，PointsecやSafeBootは発信可能だ。さらにSafeBootはロック時の発信先を限定する機能を持っている。例えば，警察，消防，管理者にだけはロックしている状態でも電話をかけられるような設定ができる（写真1）。

写真1●SafeBootの通話機能設定 ロック時でも管理者などと通話できるようにするために，登録した番号にだけ電話をかけられる設定ができる。

　端末の集中管理では，SafeBootが優れる。Windows Mobile端末のセキュリティ・ポリシーの設定をサーバーで変更すれば，パソコンとつないだときに，端末に自動配信され，アップデートされる。他の製品でポリシーを変更する場合には，端末に入っているファイルを個別に書き換える必要がある。

　機能制限はFENCE-Mobileだけが持つ。管理者が無線LANや外部メモリー，Bluetoothなどの利用を個別のデバイスごとに禁止できるほか，利用可能なアプリケーションを制限できる。従業員の不正利用などを防げる。