LoginSignup
3
1

More than 1 year has passed since last update.

Twilioを使うためのコツ、TIPSなど、Twilioのことなら何でも共有しよう！【PR】TwilioAdvent Calendar 2021Day 10
@AnaKutsu(Takashi ISHIKAWA)in株式会社シンプルウェイ

Twilio SMS で脱PPAP

Last updated at Posted at 2021-12-14

この記事はTwilio Advent Calendar 2021と株式会社シンプルウェイ Advent Calendar 2021の10日の記事です。今日は15日ですが。

Twilio Advent Calendar 2021 の空きがあったので過去にさかのぼってエントリーしてみました。

PPAPやめたいですよね? ピコ太郎じゃないですよ。パスワードZIP・パスワードメール・暗号化・プロトコルです。

シンプルウェイでは以前プライバシーマークを持っていたのですが、その際に機密情報のやり取りをどうするかという問題に対してはPPAPでお茶を濁していました。最近ISMSの取得を目指しているのですが、セキュリティ周辺の運用を見直しているときにPPAPはどうにかしたいよねという話になり、これを機にPPAPを廃止する方針となりました。

廃止するのであれば代替手段が必要になりますが、幸いシンプルウェイではオンラインファイル共有システムを自社で開発して利用していましたので、これに機能追加することで解決することにしました。

このファイル共有システムの動作は、

改修前シーケンス

  1. 自社スタッフがファイルと顧客のメールアドレスを登録
  2. 送付が初回なら名前入力、2回目以降なら顧客名が表示される
  3. 一意のURLが発行される
  4. URLを顧客へ連絡
  5. 顧客がURLにアクセス
  6. 顧客がワンタイムパスワードを取得
  7. ワンタイムパスワードがメールで送られてくる
  8. パスワードを入力
  9. ファイルにアクセス

という仕様になっています。

ところで、PPAPには

  • 宛先間違いが起こりうる
    (ファイルもパスワードもどちらもメールで送るという同じ作業なので、宛先を間違えたまま操作を繰り返す恐れあり)
  • ファイルとパスワードが同じ通信経路を通る
    (通信経路が盗聴されていたり顧客のメールアドレスが乗っ取られていたらファイルが漏洩する)

という問題があります。

これらの問題に対して上記システムでは

  • 宛先間違いの問題については、(2)で顧客名とメールアドレスの組み合わせをチェックすることである程度緩和される
  • 通信経路については、(4)のURLの連絡がチケットやチャット経由であれば解決になるのですが、ほとんどはメールになってしまうので、これはPPAPと大差なくなってしまいます

という状態です。

さて、やっとこの投稿の本題です、上記システムのワンタイムパスワードの通信経路がメール以外になればPPAPの問題点を克服できますので、これをSMSにしてしまおうと思います。

ここ最近は窓口担当者は会社の携帯を持つのが当たり前になりつつありますので、概ねこれでカバーできるでしょう。(一応旧来の仕様も残しておいて、番号を入手しづらいようであればURLの送付経路を変えることで代替可能という運用ルールにすることにします)

改修後の動作は、

改修後シーケンス

  1. 自社スタッフがファイルと顧客のメールアドレス・電話番号を登録
  2. 送付が初回なら名前入力、2回目以降なら顧客名が表示される
  3. 一意のURLが発行される
  4. URLを顧客へ連絡
  5. 顧客がURLにアクセス
  6. 顧客がワンタイムパスワードを取得
  7. ワンタイムパスワードがSMSで送られてくる
  8. パスワードを入力して
  9. ファイルにアクセス

という仕様になります。

今回上記のSMS送信部分をTwilioのサービスで実装しました。

実装してわかったのですが、Twilio の SMS 送信って本当にかんたんですね。

実は上記システムはFreePascalという言語でApacheのモジュールとして開発されているので、APIがOAuthとかだと実装が面倒なんですよ。しかしTwilioのAPIはBasic認証でステートレスでAPI実行できるので、レガシーなプログラミング言語でもササッと組み込みてることがラクですね。

SMSを送るならたったこれだけです

$ curl 'https://api.twilio.com/2010-04-01/Accounts/[アカウントSID]/Messages.json'　\
  -X POST \
  --data-urlencode 'To=+819012345678' \
  --data-urlencode 'MessagingServiceSid=[Messaging Service Sid]' \
  --data-urlencode 'Body=Your password: 87654321' \
  -u [アカウントSID]:[Authトークン]

改修されたあとのシステムの動作はこんな感じです。

DEMO

結構理想的な動きになったのではないでしょうか。ITを扱う会社としてセキュリティには気をつけたいので、これで顧客にも示しが付きますね。

なお、このシステムは商品として大々的に広報していませんが販売もしています。下記のような機能もありますのでご興味がある方はお問い合わせください。

  • SaaSとしての提供または買い切り可
  • オンプレ・VPS・クラウドいずれも利用可
  • ファイルはサーバー内で暗号化保持
  • クリーンアップ(ファイル有効期限)機能あり
  • SSOは将来的機能として検討中
3
1
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
3
1