接種証明アプリの通信内容が見えてしまう？ デジ庁「他人からは見えず問題ない」

デジタル庁が12月20日に公開した「新型コロナワクチン接種証明書アプリ」で、通信内容のデータが見られてしまうというツイートが話題になった。投稿者は該当ツイートを削除しているが、同庁はツイートについて把握しており、触れられている内容については「問題ない」との認識を示した。 投稿の内容は、同アプリの通信解析を試みたユーザーによる「アプリがサーバ証明書を確認せずに情報送信しているから、SSLインスペクション（暗号化通信の復号）で送受信データが読めてしまう」というもの。しかし、このツイートに対し「ピンニングをしていないだけでは」との指摘が相次いだ。 ピンニングとは、特定の証明書のみに限定して通信するもので、一時期はセキュリティに対して効果があるとされていたが、近年では別のリスク面からピンニングしないケースも多いようだ。同アプリはピンニングせずに通信しているが、アプリの送信データ自体は暗号化されてい

[ockeghem]

pinningに関して詳しめの解説記事出ていた。内容は妥当だと思います。

[rennstars]

政府が公に提供するサービスでこういう技術的議論ができてオープンに検証されること自体は（最初の疑義提起者含めて）実に良いことだと思う。問題はその過程を抜き取って専門家の御託宣としてデマに使う連中だが……

[hdkINO33]

“一時期はセキュリティに対して効果があるとされていたが、近年では別のリスク面からピンニングしないケースも多いようだ。” まあ普通にdeprecatedなんだよな…… https://developer.mozilla.org/ja/docs/Web/HTTP/Public_Key_Pinning

[moerrari]

接種証明アプリで個人情報漏れ( https://twitter.com/tweetsoku1/status/1472807727013548034 )はデマとのこと。検証した人が自分の端末で検証したから分かっただけで、他人の端末で分かるわけではないとのこと。

[Nyoho]

pinning

[NOV1975]

世の中一般の人には餅を扱っている人が真の餅屋なのかどうかは判別できないという問題。

[y-kawaz]

何で今更pinningなんて単語が話題になってるのかと思ったら例の接種証明アプリへのイチャモン関連か。デジ庁の説明は真っ当で安心出来る。

[rch850]

いいはなし

[nekoruri]

例の件のカウンター記事。ありがたい。 “一時期はセキュリティに対して効果があるとされていたが、近年では別のリスク面からピンニングしないケースも多い”

[triggerhappysundaymorning]

ひろみちゅが事前に指摘してくれてたおかげで正しい広報がされてる感じ.この説明が正しいなら「問題提起」した奴がうっかりさん(穏当表現)だっただけや

[pmakino]

まともな記事で良かった。昨日の高木先生の火消し活動が寄与したのかもしれないですね。

[JULY]

高木浩光さんのツイートが全てな感じ。

[deep_one]

自分でプロキシー置いてSSL盗聴しているだけ？それなら何の問題もないが。というか、ピンニングってそれの回避のためにするのか。／そしてその理解で記事を見ると、ちょっと記述が間違ってるわ（笑）