Securityセキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。不正アクセスセキュリティ記事Weeklyレビューフォックスエスタ(私設研究所)プロフィール2020-07-23韓国の検疫アプリはセキュリティを意識せずにリリースしていたつぶやいてみた。韓国のコロナ対策の主要手段である「検疫アプリ」はセキュリティ対策を考えて無かったと言っても過言では無い状況だった様です。www.nytimes.comしかし、その戦略の1つの柱である、検疫の実施を支援するモバイルアプリには、個人情報がハッカーに対して脆弱になる深刻なセキュリティ上の欠陥があったと、ソフトウェアエンジニアが発見しました。ニューヨークタイムズによって確認され、現在は修正されているこの欠陥により、攻撃者は、隔離されている人の名前、リアルタイムの場所、その他の詳細を取得できる可能性があります。この欠陥により、ハッカーがデータを改ざんして、アプリのユーザーが隔離オーダーに違反しているか、どこかにいるにもかかわらず隔離されているかのように見せかけることができた可能性もあります。韓国の新型コロナ対策、いわゆるK防疫は、日本の無策感の溢れる場当たり的な対策に比べて優れている点が多々あるのは間違いありません。アプリは、3月5日のリリースから時間があったにも関わらず、セキュリティ対策の不備を7月になって外部から指摘されるという何とも残念な設計思想だった様です。NewYorkTimesは、アプリ利用者の個人情報流出の危険と、位置情報を操作できる可能性があった事を報じました。アプリは、2週間の自己隔離に対しGPS等を使って監視する機能や、隔離対象者の体調の変化の把握や、隔離エリア(自宅)から外に出てない事を地方自治体担当者にも警告メッセージを送る事で確認できる様になっています。参考:www.technologyreview.jpアプリインストールは強制ではない様ですが、5月時点で16.2万人がダウンロードしており、コロナ対策に一定の効果を上げています。攻撃者は、隔離されている人の名前、リアルタイムの場所、その他の詳細を取得できる可能性があります。日本の接触確認アプリ(COCOA)のリリースに際して議論にもなった事から分かる様に、普通はアプリの基本設計段階で考慮すべき点です。Chan-hyunは言ったアプリ。「アプリの展開を遅らせる時間のかかるセキュリティチェックを行う余裕はありませんでした。」(NewYorkTimes記事より引用)※機械翻訳と答えていますが、この回答は、セキュリティインシデントの発生に対して、多くのソフトウェア開発者にとって教訓にすべき事であると同時に、「嘘」を感じます。いうのは、同じ記事の中で、既にアプリが改修されたと書かれているからです。同省は先週グーグルとアップルストアでリリースされた最新バージョンのアプリの欠陥を修正した。Rechtenstein氏の指摘あるいは、記者の取材からどの程度の日数が経過したかは分かりませんが、そんなに時間をかけずにバグ修正が出来たのであれば、最初からセキュリティ対策を打てた可能性を感じます。個人情報を取り扱い、K防疫の重要な対策の1つであると考えると、シフトレフトをすべきだったのかと思います。日本の接触確認アプリ(COCOCA)は、7/22現在で約797万DLと発表されていました。陽性登録者件数のデータが酷いです。合計38件しか登録されていません。www.mhlw.go.jp東京都内の新規感染者数は、7/21で238人と発表されています。6/19にアプリがリリースされてからの都内の累計感染者数は4000人を超えます(4383人)。7月分だけを数えても3829人います。仮に7月分の3829人を母数として単純計算しても、陽性が判明した事を通知した人が1%を切ります。※上記は単なる試算です。母数は全国の陽性判明者であるべきですし、実際にはスマホを所有してない方やソフトをダウンロードしてない方も居る事を含めて計算すべき比率ですが、規模の大きい東京を母数にしても、登録者数が極端に少ない事を表すために試算数字として出しています。このアプリ、良い思想のアプリだとは思います。効果を最大限発揮すると言われる普及率6割(ダウンロード数)に届いてない事以上に、本来全員押すべき、陽性者がボタンを押さない所に運用設計上の致命的な欠陥があるとしか考えられません。厚生労働省も、韓国と同様に接触確認アプリ(COCOA)の運用再設計を真剣に考えるべきではないでしょうか。本日もご来訪ありがとうございました。(470)調べてみた。(306)つぶやいてみた。(261)まとめてみた。)はてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。