Mobile2010-12-09Viberが送信する情報のメモ【5/8追記】■Viberが送信する情報のメモViberが利用者のアドレス帳情報をサーバに送信して保管するということなので、具体的にどんな内容が送信されているのか、登録から全てパケットキャプチャして確認してみた。暗号化されていたらわからないなと思っていたが、昨日の記事で電話番号が平文で送信されていたのでひょっとしたらと予想した通り、Viberは登録時にほぼ全ての情報をhttpで平文のまま流通させていた。素晴らしいソフトなのに残念なことだと思う。※こちらの記事はガジェット通信に転載いただきました。地震関連でViber検索の結果こちらにたどり着かれる方が多いようなので一部再編集しました。Viber関連は可能な限り以下のリンクを全てご確認いただき、使用するかどうか判断材料としていただければと思います。暗号化検証記事を追加しました。他記事を読まずにミスリードされる方がいるので必要と思われる注記を追記しました。していましたが、漢字の変換ミスです。iPhoneの連絡先の登録項目には標準では性(性別)という項目はありません。■所感3G接続を前提にしているとはいえ、せめてSSLは利用してもらいたいと思う。アドレス帳を項目は限定されているとは言え、全てネット上に平文で送信するのはどうかと思う。たしかにアプリの設定時にアドレス帳へのアクセスは許可しているが、通常それはアプリケーションがローカルでアクセスすることを想定し、情報がネット上にアップロードされることを許可しているつもりまではないと思われる。仕様上必須なのであれば「アドレス帳のデータをViberサーバにコピーするが構わないか?」という問いかけで許可を得るのが適切だと思う。Viberのサイト上のポリシーにはサーバ上にコピーする旨が明記されているが、アプリをダウンロードして設定するまでの間に、それに気付く機会がないのでは片手落ちだと思われる。Viber自体は非常に優れたアプリケーションだと思うので、告知内容の見直しや、登録時や架電時の通信内容の暗号化はぜひとも対応してもらいたい(※v2.0のリリースにより3月中に暗号化対応される予定)。Viberはユーザの意図しないところで、アドレス帳情報を外部送信していると見られても仕方ない状況だと感じる(※v1.1で通知内容が改善されたことで一応の対処はされている)。プログラムを取得していると明示されていない外国企業に流れていることは自覚しておく必要がある。プログラムの適用事業者に勤務している場合には、業務上利用しているiPhoneにViberはインストールしてはいけない。アドレス帳に取引先や従業員情報が入っていた場合、法人としてViber社と適切な契約状況になければ情報漏えいに該当すると判断される可能性が否定できない。EU辺りからViber社はいろいろ突っ込みをもらうことになるのではないかと推測する。その改善後には安心して利用できるようになるかもしれないと思う。16:02のコメントで回答があった。その一部に気になる発言があったのでメモしておく。numbers)と回答している。book.)ことからこの反論は妥当と思う。正確には着信音設定も送信されているのだが、プライバシー項目に相当しないという観点から述べられていない可能性がある。good.)だそうだ。これはある程度理解できるが、だとすれば事前告知で適切に説明すべきと思う。規約へのより適切な明示は歓迎すべきところではあるが、例示されたSMS配送会社への共有というのは、やや不安感を伴うものであり、Viber社がどのような信頼性評価をするのかわからないが、今後SMS配送会社経由でSMSスパムが送信されてくるかもしれない懸念を感じざるを得ない。第3者提供の可否について個別のオプトアウトを可能にしてもらいたいと思う。calls)については、特別な言及はなかった。ViberではP2Pでの通信が前提なのでiPhoneで3G回線同士で通話する限り通話内容をViberサーバに残すことはできない。ID.)ので、通信事業者?としては妥当なものだと思われる。保存目的や保存期間の明示がないのは残念だと思う。get.)と書いてある。CEOが直接個人blogにコメント返信するなど、今ではあまり驚くことでもないかもしれないが、真摯に回答がされることはやはり素晴らしいと思う。自分で記事を書いてやはり暗号化されてないことが非常に気になったので、12/18にViber社のサポートに暗号化のリクエストを出してみたのだが、受付された旨の表示にはなっているものの12/23現在全く進捗がない。12/17に投稿されている別人からの暗号化通話のリクエストにも何も進展がないように見える。(なぜ自分のリクエスト投稿は公開されていないのか不明、カテゴリが違うのか?)年末が近くもしかしたら既にクリスマス休暇で稼働していない可能性もあるが、CEOの対応はなかなか興味深いのに、通常あるべきサポートのレスポンスが残念に見えてしまう。リクエストへのレスポンスがあったら、またこちらに追記していこうと思う。(※その後Viber社のCEOとコンタクトする機会があり、直接要望を行い対応してもらうことができた。サポートも解決済みステータスに移行した。13:25Viberも平文かよ。Appleは平文でデータを送るアプリは審査を通しちゃダメだろ。17:32こういうことを確認してからと思って試すのはやめてた。10:58「Viberは登録時にほぼ全ての情報をhttpで平文のまま流通させていた。」続きの記事あるので待ってね。15:46【Viber】おそろしや。android版はろくに通話できないしアンイストールしよ。16:25【Viber】おそろしや。android版はろくに通話できないしアンイストールしよ。16:25【Viber】おそろしや。android版はろくに通話できないしアンイストールしよ。16:30これ、俺を電話帳に登録している人がViverインスコしたら俺の名前と番号が漏れてしまうっちゅう事よね?逃れられんやん。【Viber】おそろしや。android版はろくに通話できないしアンイストールしよ。20:23そうなのよ危機感なさ過ぎ、自分だけの問題じゃないからね。Viverはアドレス帳とか勝手に吸い上げるから注意した方がいいよ。Viberは、iPhoneを仕事に使ってると情報漏洩にあたる可能性があるから、いまだに怖くて入れられないアプリ。なんかね~こんな記事上がってたよ。古い話ですが知っておいた方がよいでしょう。10:48連絡先サーバー集約型にしてはセキュリティがお粗末なんだ。今は改善の方向らしいが、余程大手じゃない限り連絡先情報サーバー集約型はあまり勧めないよ。09:02Viberって無料だけど広告ないし、どんな利益モデルなんだろって思ってたらこういうことだったのね、残念。