■新型コロナウイルス接触確認アプリ(COCOA)で攻撃できる問題
はじめに
#COCOAボランティアデバッグ に尽力されている皆様に深い敬意を表します。
併せて、 OSS コミュニティへの悪影響を残している関係行政機関・各社担当者を強く軽蔑します。
project dead? · Issue #773 · Covid-19Radar/Covid19Radar · GitHub
COCOA が抱えるアプリケーション設計上の問題点攻撃者が COVID-19 感染者になりすまして「陽性情報の登録」を比較的容易に行える設計であること
登録に必要な「処理番号」のフォーマットは半角数字8桁であることが明示されてしまっている
ブルートフォース対策としてなのか、複数回の入力ミス発生時は「登録回数上限になりました。アプリケーションを終了します」としてアプリケーションが強制終了するが、特にそれ以上のペナルティは確認できない
SMS による処理番号通知を行っているのであれば、8桁数字ではなくハッシュ値を含む URL による登録など、ブルートフォース対策を含めた登録方法とするべきでは無かったか？
接触記録の条件である「概ね１メートル以内で15分以上」の距離条件を大きく逸脱している可能性があること(注) これはアプリケーション固有の問題ではない( Apple-Google API の問題)が、前項の問題点と併せることで脅威となりうるので便宜的に示しておきます
この API は端末間距離を Bluetooth の電波強度により測定しているとしているが、実際の距離を担保するものではない
5m 離れていてもこの API による接触記録対象となる可能性がある
Corona-Warn-Apps: Studie findet Probleme bei der Kontaktverfolgung im ÖPNV | heise online
これにより後程示す悪用者が居なくとも COCOA 利用者が「陽性者と接触した旨の通知を過剰に受ける」脅威にさらされている可能性が考えられる
日本国内における現行法制下では代案を示すことが難しい問題であるが、まずは第三者による検証が求められる
COCOA が抱える運用上の問題点※一部で報じられている「保健所から COCOA への陽性情報の登録に必要な処理番号が即日発行されない」などの問題もありますが、ここでは省略します
COCOA により陽性者と接触した旨の通知を受け取ると感染症コールセンターへの連絡を促され PCR 検査を受けることになる
余談レベルだが、感染症コールセンターを始めとする各所への通話料金は COCOA 導入者自身が負担することになる(略)
細かい説明や具体的な表現は控えましたが、この攻撃を仮に受けたとして致命傷に近いダメージを受ける事業者は少なくないと思います。
事業所単位で COCOA の導入を推奨している管理者は直ちに見直すことを推奨します。
まとめ本日より COCOA の導入を促すテレビCMが放映されているようです。（ #検察庁法改正案に抗議します で一躍有名になったきゃりーぱみゅぱみゅ氏などが出演されているようです）
一方で COCOA アプリケーションのリリースは 2020年7月13日 にリリースされた v1.1.2 を最後にアップデートが途絶えており、不具合ととれる多数の事象は解決されず、上記に挙げたような問題点が払拭されることも残念ながら当面は無さそうです。世間では高ぶる正義感からか COCOA の導入を声高らかに勧めたり、従業員やビジネスパートナーに導入を強いている管理者も現れているようです。
このエントリを通じて、そのような方々へ抵抗出来る材料が提供できれば幸いです。
余談冒頭のように COCOA の原型であるとされる Covid-19Radar/Covid19Radar プロジェクトも OSS にあるまじき「放置状態」が続いています。
これが GitHub を買収した企業に所属する人間の所作ですか？IT/ICT や OSS を通じて昨今の COVID-19 感染拡大を発端とする諸問題を解決する動きは支持したいですが、このような杜撰なサービス運営により IT/ICT や OSS に対する世間の期待を悪化させることを強く憂慮しています。
- つーかここ1ヶ月更新もないよな
- それCOCOAを無意味に出来るバグじゃん
なんで放置されてるの - >>3
他人を攻撃するのが好きなパヨやIT系でマウント取りたいゴミが
アプリ開発者を誹謗中傷しアプリ開発者の心を壊したから。 - >>36
工作員丸出しだな - >>36
開発者は関係ない
業務委託受けてる企業がなんで放置してんのかってこと - よし、辞職とともに安部を逮捕出来るかな
- >>4
このスレと関係あるか？ - 安倍「意味のないアプリだよ！」
- >>5
ちょっと笑った - こんなもん使う方がバカ
- つーかそこまでしてPCR受けたいか？
この糞暑い中わざわざハイリスクな検査場に行く方が・・・保険適用外以外じゃその辺の病院で手軽にできるわけじゃないだろうし
- 陽性になりすませるってこと？
足つくんだから迷惑行為で逮捕すりゃいい - USBの接触が悪いんやろな
- 日本の技術的限界。やるなら金かけて作れや。、プライバシーなんかいらん。
- 安倍友会社がやっつけで作ったゴミアプリ
GOMIDA - 総当たりで入力を繰り返す事で本物の陽性患者の登録番号を割り出せる上に本人じゃない者がその番号でエントリーできるって事？
- だってピンハネで抜かれて実務者はバイトみたいな連中でしょ
- cocoa導入に抵抗できる材料が提供できれば幸いってどんだけ嫌なんだよ…
- 管理者がいないんだっけ？
- こんなんに力入れんでも勝手に収束しとるがな
- これ、有志がフリー開発し始めたプロジェクトを
強引に持ってって国開発としてる奴だろ？ - >>18
んで予算をがっぽり取った連中は何もせずボランティアにタダ働きさせたのな。
ピンハネってレベルじゃないぜ。 - >>27
もともとが、ボランタリベースの
性善説にたった設計なんだよな… - >>27
タダ働きもクソも開発者が顔出しで売名目的でやってんだよ
だから不具合指摘されたら不貞腐れて逃亡した - >>48
なんとか王子とか言われてもなお売名だったしな
ボランティアなら無条件に批判されないなんて勘違いしてそう - >>51
売名くらい構わないでしょ。
政府からカネ引っ張ったくせに何もしない方がイカレてるだろ。
ボラが降りたならそいつらがやればいいだけの話だろ。 - しょーもな
そんな事をやって何の意味があるんだ
自分が責められるだけだろ - 修整できるプログラマーがいないだけ
- >>21
先進国最下位のコンピューター技術だからな - 総当たりに総当たりがぶつかると新たな宇宙が創世されて楽しいよな！
- ＞接触記録の条件である「概ね１メートル以内で15分以上」
この条件を満たすのは、電車等の公共交通機関がほとんどだよね
沖縄ではモノレールあるけど、ほとんどの人は車移動だし、役に立たないな
- ８桁の番号の正誤のチェック仕様は？
機械的に解析できるから、もうわかってるよね
- 会社で強制的に入れさせられたが
- そもそも陽性者は出歩かないだろ
- CHONWA？
- >>28
こっちの方が欲しいです - ネトウヨ発見機だな
- 手当たり次第に、「ヤツは要注意人物」だとかね。あり得る。
- 富士通だっけ？
- コロナおじさんがアプリの上でも現われるの？
- >>33
バーチャル自粛厨
バーチャル俺コロナ
バーチャルマスク警察 - 接触通知来ても無症状なら無視していいよ
どうせアプリのエラーだ - うちの市はいないからダウンロードしないわ
- こいつ文句だけ言って自分では何もしてないじゃん。軽蔑とかフリーライドしてる立場でよく言えるわクズすぎる
- そんなサーバーアクセスしまくったら不正ってすぐバレるじゃん
ID紐づいてんだからさ。
意図しないアクセス大量に送るのは逮捕されるし - >>42
具体的にどの法律で逮捕されるの？
思いつかない - >>42
なんの罪で？ - まあ実用性はもうないって事か
- >>45
最初から無い
コロナ陽性者に、陽性者登録するメリット無いから登録しないよ - >>50
陽性者が登録しなかった場合のこと何も考えてないんだよな - ウイルスを作るのはアンチウィルス会社とか聞くけど、悪用され危機に直面しないと本気にならへんのよね
- ボランティアなのに批判されてやる気なくしたんじゃなかったっけ？
- これわかってた
誰も指摘しないのが不思議だった
いくらでもなりすましで陽性者登録できる - Bluetooth の距離計測は精度低いからね
- 最初から言われてたそのまんま
- き、、きじゃくせい？
- 国がこれ使って感染者対策に使いだしたんだから
ボランティアなんで～、なんて通らんだろ
責任もって直させろ
この時代にコロナ誤認なんかされたら殺人が起きるぞ - 最後の方読むとむしろ修正されない方が都合がいいんじゃないか？抵抗したいんだろ？
- アプリから通知ありましたけど
と言って保健所に電話しても
たいていは、自宅待機だけ伝えられて
ろくに検査してくれないそうだからね
何のためのアプリなんだろうね - 入れてる奴は情弱ばかり
玄人は死んでも使わない - >>60
1m以内に15分いた人だから、誰が陽性者かわかる場合が多い
陽性者とバレたら、自宅に放火されたり、職場に誹謗中傷が殺到する正直に陽性者登録するやつはバカだわな
- ゴミアプリ入れてる馬鹿いんの？
- >>61
公務員は全員入れるようにお達しが来たわ。
信用してねーけど。 - 通知が来ても保健所がPCR検査受けさせないんだから、入れるだけ無駄だぞ
- 仕事したふり
- 使えって言う割にポンコツ過ぎじゃね
- というか、せめてアルファベット混ぜろよ
あと20文字くらいにしろよ - 結局このアプリってなんだったんだ
やってる感？
どっかに予算流したかっただけ？ - >>73
実装はマイクロソフトのプログラマーがほぼ無償でやった
委託会社はUIだけつけてリリース、後は放置 - 攻撃されたら修正しまーす
- どこにこれ依頼してんの？
まともに対応できるITの企業は日本にないんか - >>77
日本はIT後進国なんで仕方ない - なんでユーザに登録させる仕様にしちゃったんだろうねえ
- 大体フリーソフトと違って一国に一つと制約付いてるアプリなんだから、不具合あれば批判出るの当たり前だろ……
- githubのreadmeはすごいきれいだった
- やってる感出すためだけの糞アプリじゃね
- 安倍が死んだんだからアンインストール許可してほしいわな
【COCOA】接触確認アプリに「陽性情報の登録を総当たりで登録できる」脆弱性 ボランティアが発見し修正依頼→無視され更新もなし
ニュー速＋
コメント