とあるチケットを買おうとして、初めて使うプラットフォームで登録がいろいろあり、
その中で電話番号認証が必要と言われ、こんなのにわざわざ電話番号認証を要求するか、
と思いつつ進むと、SMSを送信させるか電話をかけさせるかという。
通話料がかかるというので、じゃあSMSの方がいいかと思ったのだが、
なんと国際SMS、警告は出たが、スルーしてしまい100円もかかった。
高々100円だしとは思ったのだけど、電話を選んだ方が多分安かったよねと。
さすがに国際電話ではないはず。
なんで国際SMSなのかというのは謎である。
国内通話という前提で言えば電話をかけさせる方法を呈示すればいいはず。
通話料がかかるのもどうかと思うが、それならあり得ないとも言えない仕組みだ。
Tポイントでは電話を掛けさせる方法の電話番号認証をつかっていて、
かつては通話料がかかっていたが、現在は電話を取らずに切る方法になり、
通話料無しで電話番号認証が完結するようになっている。
これもこれでどうかと思うところはあるが、わからなくもない仕組みである。
ただ、全般的な問題として、認証される側から送信・発話するという仕組みは認証方式として弱いというのがある。
というのも送信元・発信元の番号は偽装できなくもないからである。
特に国際SMSというのは偽装しやすい仕組みである。
送信元を偽装するSMS――注意すべき点とキャリアの対策は？ (ケータイWatch)
こういう話は発信者番号の偽装でもありうる話ではある。
もちろん、国際電話なのに国内の番号に偽装するとか、明らかにおかしいものは対策できる。
でも、SMSの送信元、電話の発信者番号が真の送信元・発信元かは疑わしい部分は残る
なので、こういう認証は認証される側にSMSを送信したり、電話をかける方がよっぽどよい。
その電話番号が使えることと、受信・受話できることが確認できるからである。
その方法が国際SMSでも国際電話でも問題ないだろう。
というわけで、そもそもダメなアプローチだねという話だった。
ちなみにこれはLivePocketというプラットフォームの話である。
エイベックスグループが開発・運営している。まさかの大企業である。
この事業をKDDIが今年取得するそうである。
エイベックス・グループの電子チケット販売プラットフォーム事業「LivePocket」を承継 (KDDI)
KDDIがこの事業をどのように活用していくのかはよくわからないのだが、
他のエンタメサービスともつながるようau IDに統合するのはあるかも。
そうなればわざわざこのシステムのために電話番号認証することはなくなるのでは?
あと、KDDIが株式の50%を取得するローソンの傘下にローチケもあるよね。
LivePocketは比較的小規模なイベントなどで活用されているので、
ローチケとは用途が違うところはあるが、共用できる部分はあるかもしれない。
まぁ何も変わらず放置という可能性もありますがね。