• 会員限定
  • 2022/02/19 掲載

北京五輪公式アプリに「セキュリティ上の懸念」、やはり発見された“検閲機能”の痕跡

記事をお気に入りリストに登録することができます。
カナダ トロント大学に拠点を置く学際ラボ「Citizen Lab」が、ブログで北京オリンピックの公式アプリ「MY2022」に関するセキュリティ上の懸念を公開した。このアプリは参加者全員(選手、関係者、観客など)に利用が義務付けられており、国境を超えた機微情報の扱いに不透明な部分があるという。北京オリンピックは中国によるウイグル虐殺や人権問題で米国やカナダなど外交ボイコットを表明する国が出ている。どんなアプリなのだろうか。

執筆:フリーランスライター 中尾真二

執筆:フリーランスライター 中尾真二

フリーランスライター、エディター。アスキーの書籍編集から、オライリー・ジャパンを経て、翻訳や執筆、取材などを紙、Webを問わずこなす。IT系が多いが、たまに自動車関連の媒体で執筆することもある。インターネット(とは言わなかったが)はUUCPのころから使っている。

photo
選手参加者は利用義務がある北京五輪の公式アプリにセキュリティ上の懸念が指摘された
(写真:ロイター/アフロ)

防疫アプリのトラッキングは珍しいことではない

 公平を期すため、最初に断っておく。コロナパンデミックの中、オリンピックのような国際的なイベントの開催にあたって、防疫・健康管理のために観客や関係者のトラッキングや隔離は重要である。東京オリンピックでも選手団や海外プレスに接触管理アプリのインストールが義務付けられた。また、問題の「MY2022」アプリは、アップル、グーグルの正規手続きを経てアップロードされている公式アプリだ。

 したがって、中国政府が絡んでいるからという理由だけで、コロナ対策や公衆衛生アプリのトラッキング機能、情報収集機能を否定することはできない。

 東京オリンピックでも採用された「クローズドループ」(選手や関係者の移動経路や行動範囲の制限・管理)は北京オリンピックでも採用されている。クローズドループにはこの手のトラッキングアプリは不可欠である。事実、端末の位置情報など「MY2022」が収集するような情報は「MYSOS」など日本の同様なアプリでも収集している。MYSOSは海外から日本に入国する際、全員がインストールを義務付けられている。

 では、レポートしたトロント大学の学術センターの1つ「Toronto Univ. Munk School of Global Affairs &Public Policy」(トロント大学 国際政治・政策ムンク校)のCitizen Labが、「中国アプリに過剰反応しているのか?」というと、そういうわけでもない。

 Citizen LabはNSOに関する調査レポートを継続して発行するなど、セキュリティ業界でも公平かつ信頼性の高い研究機関とされている。NSOはイスラエルのセキュリティ関連企業で「ペガサス」などスパイウェアの開発で知られており、各国政府や警察が行うグレーまたは違法なハッキング活動・捜査にも深く関わっているとされる民間企業だ。

問題は収集情報の扱いが明確でないこと

 MY2022の開発元は「北京フィナンシャルホールディングス」という国有(state-owned)企業。中国では旅行あっせんやGPSナビの他、COVID-19関連の健康情報を扱っている。そのため、利用者が毎日申告する健康状態、ワクチン履歴、検査結果履歴などを含む医療情報を収集する。

 利用者が中国国民の場合、氏名、国民ID、電話番号、メールアドレス、顔写真、職業なども収集される。それ以外の外国籍ユーザーは、パスポート番号、有効期限、人口統計的な情報など個人を識別できる情報が収集対象となる。

 改めて言うが、パンデミック時の公衆衛生や疫学情報として、このレベルの情報収集を一概に違法、不当とすることはできない。他の国の感染制御やロックダウンでも同様なレベルの情報収集は行われている。Citizen Labが問題にするのは、収集した情報の管理主体と共有先である。

 個人情報や健康情報のデータを所有管理するのは、国有企業北京フィナンシャルホールディングス。そしてプライバシーポリシーに明記された情報の提供先として、HUAWEI(ファーウェイ)、Xiaomi(シャオミ)、Tencent(テンセント)など約9社が記載されている。感染や接触のトラッキングだけなら個人を識別できるIDで管理できるはずだが、個人情報や機微情報にもなる健康情報をスポンサーやサービスプロバイダー、プラットフォーマーに提供する理由や意図がはっきりしない。

通信が暗号化されていない問題


 Citizen Labは、MY2022アプリ自体の脆弱性と暗号化処理の問題も指摘している。アプリのサーバ証明書の認証処理に不備があり、偽のサーバ証明書を使ったなりすましや擬装が可能という脆弱性だ。アプリは偽サーバの要求に対して、デバイスの個人情報などを伝えてしまう可能性がある。

 また、通信相手が正規サーバだとしても、通信路の暗号化処理が完全ではなく、盗聴のリスクがあるという。彼らの調査ではいくつかの機微情報の通信が暗号化されずにやりとりされていたことも確認されている。

 発見されたアプリの問題のうち、証明書の脆弱性は新しいバージョンでは改善されていることをCitizen Labでも確認している。しかし、暗号化通信に関する問題や後述する検閲や監視機能についての問題は解決されていないとする。

 証明書の脆弱性の改修が行われた新しいバージョンでは、「グリーン健康コード」も入力できるようになった。グリーン健康コードは、中国当局が中国国内に入国する場合に求める陰性証明になる番号だ。新バージョン(2.0.5)の解析では、このデータのやり取りは古いバージョンで指摘した偽サーバ証明書の問題が残っていたという。

 そして、最後の懸念は検閲機能だ。

【次ページ】やはり発見された「検閲機能」の痕跡

関連タグ

あなたの投稿

関連コンテンツ

    PR

    PR

    PR

処理に失敗しました

人気のタグ

投稿したコメントを
削除しますか?

あなたの投稿コメント編集

機能制限のお知らせ

現在、コメントの違反報告があったため一部機能が利用できなくなっています。

そのため、この機能はご利用いただけません。
詳しくはこちらにお問い合わせください。

通報

このコメントについて、
問題の詳細をお知らせください。

ビジネス+ITルール違反についてはこちらをご覧ください。

通報

報告が完了しました

コメントを投稿することにより自身の基本情報
本メディアサイトに公開されます

必要な会員情報が不足しています。

必要な会員情報をすべてご登録いただくまでは、以下のサービスがご利用いただけません。

  • 記事閲覧数の制限なし

  • [お気に入り]ボタンでの記事取り置き

  • タグフォロー

  • おすすめコンテンツの表示

詳細情報を入力して
会員限定機能を使いこなしましょう!

詳細はこちら 詳細情報の入力へ進む
報告が完了しました

」さんのブロックを解除しますか?

ブロックを解除するとお互いにフォローすることができるようになります。

ブロック

さんはあなたをフォローしたりあなたのコメントにいいねできなくなります。また、さんからの通知は表示されなくなります。

さんをブロックしますか?

ブロック

ブロックが完了しました

ブロック解除

ブロック解除が完了しました

機能制限のお知らせ

現在、コメントの違反報告があったため一部機能が利用できなくなっています。

そのため、この機能はご利用いただけません。
詳しくはこちらにお問い合わせください。

ユーザーをフォローすることにより自身の基本情報
お相手に公開されます