PHPで認証式の携帯サイトを作成しています。

クッキーが使えない機種を想定して、session.use_trans_sidを1にし、自動的にURLにセッションIDが付与されるようにしています。

この場合、セッションID入りのURLを他人にメールなどで送信した場合、なりすましが可能になってしまいます。
それを防ぐ為に、個体識別番号を取得して認証後ページで毎回確認する方法があるというのもわかりました。

auやソフトバンクの場合は簡単なのですが、docomoの場合はすべてのURLにiモードID（guid=ON）を付けるそうで、少々メンテナンス性が悪いと感じます。
かと言って、いつ変更・追加されるかわからないIPアドレスリストを認証対象にするのも後々面倒です。

そこで質問ですが、上記の私の知識以外に「こうすれば対策できる」ということがありましたら、教えて下さい。
逆に認識が間違っている点がありましたら指摘していただき、参考サイトなどを教えて下さい。