2020-08-30

新型コロナウイルス接触確認アプリ(COCOA)で攻撃できる問題

はじめに

#COCOAボランティアデバッグ に尽力されている皆様に深い敬意を表します。

併せて、 OSS コミュニティへの悪影響を残している関係行政機関・各社担当者を強く軽蔑します。

project dead? · Issue #773 · Covid-19Radar/Covid19Radar · GitHub

COCOA が抱えるアプリケーション設計上の問題点

攻撃者が COVID-19 感染者になりすまして「陽性情報登録」を比較的容易に行える設計であること
接触記録の条件である「概ね1メートル以内で15分以上」の距離条件を大きく逸脱している可能性があること

(注) これはアプリケーション固有の問題ではない( Apple-Google API問題)が、前項の問題点と併せることで脅威となりうるので便宜的に示しておきます

COCOA が抱える運用上の問題点

※一部で報じられている「保健所から COCOA への陽性情報登録必要な処理番号が即日発行されない」などの問題もありますが、ここでは省略しま

上記で挙げた問題点悪用することで行えること

※以下はあくまシミュレーションであり、 COCOA悪用助長する意図はありません


かい説明や具体的な表現は控えましたが、この攻撃を仮に受けたとして致命傷に近いダメージを受ける事業者は少なくないと思います

事業所単位COCOA の導入を推奨している管理者直ちに見直すことを推奨します。

まとめ

本日より COCOA の導入を促すテレビCMが放映されているようです。( #検察庁法改正案に抗議します で一躍有名になったきゃりーぱみゅぱみゅ氏などが出演されているようです)

一方で COCOA アプリケーションリリース2020年7月13日リリースされた v1.1.2 を最後アップデートが途絶えており、不具合ととれる多数の事象解決されず、上記に挙げたような問題点払拭されることも残念ながら当面は無さそうです。

世間では高ぶる正義感からCOCOA の導入を声高らかに勧めたり、従業員ビジネスパートナーに導入を強いている管理者も現れているようです。

このエントリを通じて、そのような方々へ抵抗出来る材料提供できれば幸いです。

余談

冒頭のように COCOA の原型であるとされる Covid-19Radar/Covid19Radar プロジェクトOSS にあるまじき「放置状態」が続いています

これが GitHub を買収した企業所属する人間所作ですか?

IT/ICTOSS を通じて昨今の COVID-19 感染拡大を発端とする諸問題解決する動きは支持したいですが、このような杜撰サービス運営により IT/ICTOSS に対する世間の期待を悪化させることを強く憂慮しています

  • これはのびる。。ブクマのびのびさろんどぷろ

  • じゃあ君が悪用して見せてよ。

  • スマホのエミュとかで近隣のBluetoothの検出をエミュレートして自由に記録できると…?

  • 適当な問題をでっちあげてOSSコミュニティへの悪影響を残している増田を軽蔑してはどうか。

  • 表現が大層な割に、あまり大した問題じゃなかった

  • ブルートフォース対策したら終わりやんけ

  • 厚労省的にはCOCOAは「終わった問題」なんだろうなという気がする そこが問題では

  • 問題はそこではなくボトルネックとなる保健所に問合せが殺到する点。攻撃されて最終的に被害を被るのは保健所。

  • 脆弱性をネットに公開するのって犯罪じゃなかったっけ

  • このいたずらが広まるとCOCOAの信頼性がなくなる方が影響おおきくね?

    • ガバガバに信頼性があると思いこんじゃうほうがリスクじゃね? あと攻撃方法が分かれば対策も練りやすくなる。

  • 処理番号の話するならこのissueもあげとくべきでは。 https://github.com/Covid-19Radar/Covid19Radar/issues/535

  • 陽性者登録が行われた後にその人Aと接触のあった人Bに連絡が行く、という流れで、 Aが番号を入力すれば自動的にBに連絡が行くわけではなく、一度その番号が発行済みか 中央でチェッ...

  • これは怖いね・・・ 国が責任持って改良、改修してくれないと使えないよ

  • mtv-vmas-2020 mtv-vmas-2020 mtv-vmas-2020 mtv-vmas-2020 イアリー

  • 登録番号って感染者かどうかに関わらず貰えるもんなん?それならなりすまし(陽性者騙り?)も可能だし問題だと思うが。 ただ単に「別人が貰った感染者の登録番号を総当りで入力出来る可...

  • 登録番号って感染者かどうかに関わらず貰えるもんなん?それならなりすまし(陽性者騙り?)も可能だし問題だと思うが。 ただ単に「別人が貰った感染者の登録番号を総当りで入力出来る可...

  • 既に指摘されているけど、有効な処理番号を送信した場合に、既に登録されている処理番号かどうかを判定するロジックがあるのかな?コードを読んでないからわからないけど、もしあ...

  • 濃厚接触疑惑だけでも従業員自宅待機で仕事にならないわけでいくらでも経済破壊に利用できるね

  • 通報すました

  • デプロイ王子は所詮デプロイしかできず、保守はできないのだ・・・

  • 正規の陽性登録件数がたったの累計517件(8/31 17:00時点)のところに平均試行回数5000万回のブルートフォースを仕掛けて怪しまれないと思うか?

  • 何でこんな話を増田に書いてんの

  • openCACAO のオーガナイザー( #COCOAボランティアデバッグ ) と Covid-19Radar のオーガナイザーが Twitter 上で殴り合い始めてる。 デプロイ王子が openCACAO のメンバーを煽ってるようなメンション...

  • 順位 タイトル ブクマ数 日付 ジャンル 備考 1 意識の低いフリーランスの生存戦略 2260 02/26 テクノロジー 2 ケンタッキー初心者...

  • 順位 タイトル ブクマ数 日付 ジャンル 備考 1 意識の低いフリーランスの生存戦略 2260 02/26 テクノロジー 2 ケンタッキー初心者...

  • トップ700 順位 ブクマ数 タイトル 日付 ジャンル 備考 1 2260 意識の低いフリーランスの生存戦略 02/26 テクノロジー 2 2246 ...

  • トップ700 順位 ブクマ数 タイトル 日付 ジャンル 備考 1 2260 意識の低いフリーランスの生存戦略 02/26 テクノロジー 2 2246 ...

  • 順位 ブクマ数 タイトル 備考 1 2260 意識の低いフリーランスの生存戦略 2 2246 ケンタッキー初心者指南 3 1980 100分de名著シリ...

  • 順位 ブクマ数 タイトル 備考 1 2260 意識の低いフリーランスの生存戦略 2 2246 ケンタッキー初心者指南 3 1980 100分de名著シリ...

  • 順位 ブクマ数 タイトル 日付 備考 1 1680 自民系の地方議員です。カネ配りについて書きます。 06/28 2 1565 日本から捨てられた土地で...

  • 順位 ブクマ数 タイトル 日付 備考 1 1680 自民系の地方議員です。カネ配りについて書きます。 06/28 2 1565 日本から捨てられた土地で...

  • トップ500 順位 ブクマ数 タイトル 日付 備考 1 2260 意識の低いフリーランスの生存戦略 02/26 2 2246 ケンタッキー初心者指南 ...

  • トップ500 順位 ブクマ数 タイトル 日付 備考 1 2260 意識の低いフリーランスの生存戦略 02/26 2 2246 ケンタッキー初心者指南 ...

    • パンティー変はないのか

    • 昨日、M区のクライアントのオフィス行ったんです。クライアントのオフィス。 そしたらなんか知らない人がめちゃくちゃいっぱいいたんです。 で、よく見たらなんか垂れ幕下がってて...

      • 🍛👳🏽‍♀️👳🏽‍♂️🧒🏻ナマステ―!!🍛オイシイヨ

        • それは逆じゃなくてナン、、、 一瞬考えちゃった。

        • はてラボ人間性センターの質問に付き合ってるうちに雑学を色々検索してしまって、ナンのコメントするべきだったか忘れてしまう現象に名前をつけてください。 anond:20210115222013 anond:202...

    • 月刊増田文学賞も創設してくれやで ワイは妖怪寿司女を推す https://anond.hatelabo.jp/20210112213223

    • あとで読む ランク タイトル ブクマ数 日付 カテゴリ 1 あえぎ声を書くバイト 1980 2021/04/08 05:49 おもしろ 2 桃太郎なのに、とっても Apple 1660 2021/04/26 10:18 テ...

      • 開いたことあんの3つしかないんだけど 基準はなんなんだよ?

      • 今年も乙!

      • はてなーなんだかんだ言いながらapple好きなんだな

      • 3つしか見たことのあるやつなかった 全然しらないのばっかりで俺増田やるの向いてないのかも・・・

      • 問題解決を、セクシーに。 気候変動に立ち向かう。すべての声を一つにして。 楽しく、クールに、そしてセクシーに。 問題解決は苦しいだけではありません。 もっと肩の力を抜いて。...

        • 顔と出自はいいんだから官僚の原稿通り喋っときゃいいのになあ

          • 知性と教養がゼロなんだからどうにもならん。出自がいいとか、二世タレントと同じだろ。

        • ホントに進次郎くんは政治家じゃなくて電通とかその周辺に就職すべきだったよお腹痛い

          • あんなF欄卒業していては、高給が保証される民間には入社できん。あ、でも安倍はあのポンコツ頭脳で神戸製鋼に就職したんだっけ?

            • いや進次郎みたいなやつこそ虚業に従事するべきなんだわ 見た目とハッタリとコネだけで生きていける広告業界こそ進次郎の天職でしょ

              • それを行ったら小池都知事だってカタカナ語多用して聞き手に何か言ってる演出するだけで、実は何も言ってない空虚の塊だしな。 水素水の営業とかいいんじゃないの?進次郎には。

        • 少子化はセックスすれば解決するからセーフ

        • アップル口調だと妙に説得力あるな 30年後の自分とかじっくり考えてしまった

        • 三番煎じでもまだいけるな

        • こんなバカを税金で養っていると思うと本当やりきれない。 日々増税で苦しんでいるのがバカみたいだ。 生活保護党、自民党死ね!!!!!!!!!!!!!!!!!!!!!!!!!...

        • 古谷一行「SEXY、スプリンター!!」 ムッスコ「おぅ親父ぃ、ダチ集めてウチで『古谷一行杯麻雀大会』オールでやるからよぉ、ツラ出してくれや!」

        • クソダサ二番煎じのクソダサ村じゃん キモ 何歳までスベり続けんだよ

        • クドくてあんまり面白くなかったけど 30年後の自分は何歳ですか?はよかった

        • 追記も芸が細かい

      • 今年も楽しませてもらいました 来年もはてながあきれるほどクソマスを産み出していきましょう

      • ノンフィクションだと「動画でたどる生ハムと焼うどん」が良かった anond:20210814104642

      • リンク 【2021年度】  2021匿名ダイアリーTOP200 増田文学 2021年 ランキング 順位 ブクマ タイトル 201 666 美味い素麺なんか食うんじゃなかった 202 665 お前は危険物甲...

    • リンク 2021年度 匿名ダイアリーTOP250 2021年度 匿名ダイアリーTOP251-500 ランキング 順位 ブクマ タイトル 1 2558 当たり屋対策の集合知 2 2336 洪水被害にあったらやる...

記事への反応(ブックマークコメント)

ログイン ユーザー登録
ようこそ ゲスト さん