インターネット・アクセスができる携帯電話の爆発的な普及を受け，セキュリティ・ベンダー各社が携帯電話分野に参入し始めた。ディジタル証明書を使ってエンド・ツー・エンドの暗号化や認証を可能にするツールキット/サービスを相次ぎ発表している。これにより，携帯電話からのインターネット・アクセスがより安全になる。
「携帯電話は爆発的に普及しており，ユーザー数はパソコンの4倍に達している。注目しないわけにはいかない」（アイルランドのボルチモア・テクノロジーズ マーケティング上級副社長 パディ・ホラハン氏）。セキュリティ・ベンダー各社が携帯電話をはじめとする携帯端末のセキュリティ市場に参入し始めた（表1[拡大表示]）。
|
| 表1 99年末から2000年1月までに携帯端末向けのセキュリティ製品およびサービスを発表した主なベンダー |
ただし，サーバー側がアクセスしてきたユーザーを確認する「クライアント認証」の導入はまだ先になる見込み。現状では，メモリーなどの制限で，携帯電話にディジタル証明書を組み込めないためである。
すでに一部の携帯電話では，PKIの実装が進んでいる（写真1[拡大表示]）。例えば，スウェーデンのエリクソンはRSAセキュリティの製品を使って，携帯端末の次機種「Ericsson smartphone R380」をSSL対応にする予定である。日本でもNTTドコモが2000年中にSSL対応にする予定。「エンド・ツー・エンドのSSLに対応したiモード端末のプロトタイプはすでに開発済み」（RSAセキュリティ 社長 山野 修氏）という。
通信をより安全に，併せて認証も
現在でも携帯電話からインターネット上のサーバーまでのセキュリティは確保されている。それをさらに安全にし，加えてディジタル証明書を使った認証を可能にしようというのが現在の動きである（図1[拡大表示]）。
|
|
図1 目指すのはエンド・ツー・エンドのセキュリティ サーバーから携帯端末までのエンド・ツー・エンドのセキュリティを確保するには，リソースが限られた端末にSSLあるいはWTLSを実装する必要がある。また認証のためのディジタル証明書も必要。各セキュリティ・ベンダーはこれらのソリューションを提供し始めた。また携帯電話網の中の通信をより安全にするために，スクランブルをより強力にしようという動きもある。 |
この場合，携帯電話とWebサーバーの間（エンド・ツー・エンド）ではセッションを張っていないので，暗号化したデータをゲートウエイの部分で平文に戻す必要がある。また，SSLのもう1つの機能であるディジタル証明書を使った認証機能は使えない。
エンド・ツー・エンドでSSL（あるいはWTLS）を使えば，ゲートウエイ内部を含めて暗号化でき，認証も可能になる。「金融機関などのサイトと重要な情報をやり取りする場合を考えると，エンド・ツー・エンドのセキュリティは必須」（ボルチモア・テクノロジーズ）である。
現行の携帯電話にSSL/WTLSが実装されていない大きな理由は，携帯電話のリソースが制限されているため。パソコンで利用しているSSLのソフト（ライブラリ）はそのまま移植できない。メモリーやCPUの制約だけではなく，付加機能による消費電力の増加も考慮しなくてはならない。そのため各社ともアルゴリズムのコンパクト化や高速化を計り，携帯電話専用のライブラリ製品を開発している。
クライアント認証はこれから
|
|
写真1 WTLSを実装した携帯電話の画面例 画面左上にカギのマークを表示して，WAPサーバーとの間に安全な通信路を確立していることを示している。 |
「クライアント認証については，市場のニーズが少ないのが現状。クライアント認証を組み込むには，SSLを実装するだけでなく，たとえばメモリー・チップを付加したりブラウザを変更するなどの必要がある。端末1台あたりのコストにも関わってくる」（RSAセキュリティ）。しばらくはクライアント認証にはID，パスワードを利用することになる。
将来的にはクライアント認証も可能になる。セキュリティ・ベンダーが考えている方法の1つは，スマート・カードやICチップを使う方法。こうしたメディアに秘密カギやディジタル証明書を保存し，必要なときに携帯電話に装着する。
携帯電話には秘密カギだけを保存しておき，必要に応じてネットワーク上に置いたディレクトリ・サーバーなどのリポジトリから，ディジタル証明書をダウンロードする方法も考えられている。
