携帯サイトでのセキュリティに関する質問です。一般のインターネット回線上に設置されたWebサーバに、携帯からアクセスさせようとしています。IDをパスワードによる認証を経て、サーバ上で簡単なコマンドを実行させる環境です。

私は携帯用サイトの専門家ではないですが、一応参考までに。

>・ベーシック認証だけだと、IDとPWが弱いと破られやすいので危険？

Basic認証は、パスワードが暗号化されずに送られるので、通信を傍受されれば「強さ」は関係ありません。「強さ」とは、暗号化がされている場合に、その暗号を解読するのに要する計算量のことですので、暗号化がされていない場合は意味がありません。

>・携帯サイト用にも、Digest認証やワンタイムパスワードのような仕組みがある？

記憶が曖昧で申し訳ないですが、携帯端末ではDigest認証は利用できなかったと思います。

>・携帯サイト用の場合、アクセス元がはっきりしているため、ある程度安全？

「安全」の定義によりますが…。

たとえば、プログラムを組んで危険なコマンドを送信したりといった可能性は低くなるでしょうが、原理的には十分可能ですので実際問題としてはPCと同じ対策を取ることになると思います。

上記のような、パスワードの盗難といった話題に関しては、インターネットを経由しているという事実は変わりませんので、PCと同じ対策が必要だと思います。

公式サイトと一般サイト（いわゆる勝手サイト）によって対応が違います。

公式サイトについては大抵通信が外部（インターネット上）にでないので、安全性はかなり高くなります。

もちろん中の人からのアクセスには対処が必要かもしれませんが、外部の不特定多数からの攻撃に比べればだいぶマシです。

一般サイトについてはあくまで途中の経路にインターネットを使用するのでその間の傍受や偽装を考えれば完全な対処は難しいです。

ベーシック認証だけだと、IDとPWが弱いと破られやすいので危険？

１番の方と同様破られるというより途中の盗聴に非常に弱いです。

つかうなら、ＳＳＬと併用すべきでしょう。

ただ、利便性の点から携帯では Basic 認証はほとんど使われていません。

携帯サイト用にも、Digest認証やワンタイムパスワードのような仕組みがある？

ありません。

携帯サイト用の場合、アクセス元がはっきりしているため、ある程度安全？

ＰＣ用のサイトよりはこれによりだいぶ安全性は高まります。

ただし、アクセス元の詐称などを行えば破られるので、完全ではありません。

なお、携帯特有の認証方式として端末固有のＩＤ（シリアルナンバーのようなもの）を利用した認証がよく使われます。

多少使い方は違いますが、DoCoMo,AU,Softbank のそれぞれに用意されています。

ＩＰアドレスによるアクセス制限とフォームまたは端末固有ＩＤによる認証を併用するパターンが多いです。

たとえば、「ポケットはてな」でも、同様の手段がとられています。

相当古い機種(502iくらい）以外では、SSL通信が可能です。SSLを張った上でのBASIC認証ならばパスワードの漏洩の心配はありません。

古い機種では速度の面で問題となるかもしれません。

手早くなおかつセキュアな認証を行いたいのであれば　ベーシック認証＋SSL　がよいかと思います。

ベーシック認証は認証の際、パスワードをエンコードし送信しますが、ほぼ平分といっても言いかと思います。従い通常の場合でベー十区認証を行うのは若干セキュリティ面から見ても危険なので、送信される間をSSLで暗号化すればOKです。