入力情報を送信するＩＭＥ

2013/12/26 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 入力情報を送信するＩＭＥ IMEの通信解析で利用されたSSLの解析技術に関して NHKなどで報道されている、パソコン用の日本語入力ソフトBaidu IME、 Android用の日本語入力ソフト Simejiの送信データを解析した件に関して詳細をご説明します。 検証解析環境 ＜ＳＳＬによる暗号化通信を解析できる環境＞ 解析の結果、日本語入力の文字列が、SSLで暗号化され送信されていることがわかりました。 Baidu IME , Simejiでは、全角入力の場合のみ情報が送信されています。 クラウド入力Offの場合でも入力文字列を送信していました。 パスワードなど半角入力のみ

[dankogai]

見た。アウト。入力文字列を集めるところまでは製品の特性上許容範囲かもしれないが、UUIDを明示的に集めるということはデータを匿名化する意志なしと意思表示してるのと同じ

[pochi-p]

「パスワードなど半角入力のみの場合は送信されていません」←秘密の質問（の答え）は大抵全角だから送信されますね。撲滅すべき理由が増えたね！！

[tripleshot]

「クラウド入力OFF、ログ情報を送信がOFFの場合でも送信されます。」ここが最大の問題だよな。さらに、UUID、デバイス名、アプリケーション名なんかは変換候補出すのに必要ないだろっていう。あまりにきな臭い。

[YaSuYuKi]

ユーザーを識別できる情報まで渡しているから、どう考えてもアウトだ。統計的に利用するだけなら必要ない

[toshi_suzuki]

漢字変換にUUIDなんて必要無い筈なんだがなぁ。(苦笑)

[kana0355]

一応，SSLは通してたのね．

[naga_sawa]

やらかした中身の解説/散々言われてるけど、各種IDやアプリ名を抜いてるのでアウトだわね/各セキュリティベンダのマルウェア登録はまだかしら

[s_shisui]

UIDと一緒に送られたらダメだな…

[Hiro0138]

全角→半角の変換やったら全アウトってことか・・・これはかなり漏洩したな

[nacamula]

「クラウド入力Offの場合でも入力文字列を送信していました」「パスワードなど半角入力のみの場合は送信されていません」

[mellow-mikan]

設定でOFFにしてても送られちゃう

[syuu1228]

入力情報を送信するＩＭＥ - NetAgent Official Blog

[AKIMOTO]

常時日本語入力モードで半角英数字も入力する人もいると思うのだけれど

[tailtame]

こっちの方がわかりやすいかな

[h_A_l]

と思ったけど，もう一度，ネットエージェントのブログ を読んだら，2通りの解釈ができることに思い至った．書き方が曖昧なんだよな．

[hamyteth]

アウトー！＞アプリのパス送信

[m_yanagisawa]

Baidu IME の詳報。OFF設定でも送信！まるでキーロガー

[gyu-tang]

アウト

[eigen410]

だからNHKのニュースでも、数字を全角入力して再現してたのね。"パスワードなど半角入力のみの場合は送信されていません。"

[ikd9684]

これはひどい。アウト。

[itochan]

secroid.jp 大事。

[NAT]

コンピュータの識別子とアプリのパスまで送信する必要性が分からないし、クラウド入力OFFでも送信するのは問題ありだなあ。意図的なのか、セキュリティ意識の低いのかは不明だが。

[TsutomuOnoda]

入力情報を送信するＩＭＥ : NetAgent Official Blog

[rin51]

> Counter SSL Proxyや、スマートデバイスアプリ解析ツールが、導入されている企業ではこのような通信を容易に発見できます。まだ導入されていない方はぜひともご検討ください。

[yamuchagold]

この記事が事の発端なのかな？まあ、どのみち入れてた期間は諦めるしか無いけど。

[amino_acid9]

Baidu IME, Simejiがクラウド入力Offでも入力文字列と識別子を送信って、やだぁキーロガーじゃないですかあ

[kinreiboku]

入力情報を送信するＩＭＥ : NetAgent Official Blog

[theblackcoffee]

これでIME危険→AndroidがGoogle日本語入力一択に、なんて流れになったら目も当てられない。

[umisama]

ってかAPIの設計汚いのが気になる

[rakka74]

クラウド変換オフでも送信するのは問題だな

[wasai]

さすが、ネットエージェントさんは仕事が早い

[kono1]

Baidu IMEも、設定に関わらず送信されるの？ どっちにも読めてわかりづらい。

[inazuma2073]

こういうことらしい。

[azumi_s]

ふーむ。Nexus7もとりあえずATOKぶっこんだ私は正解ですか的な。

[k-takahashi]

『NHKなどで報道されている、パソコン用の日本語入力ソフトBaidu IME、 Android用の日本語入力ソフト Simejiの送信データを解析した件に関して詳細をご説明』　『クラウド入力Offの場合でも入力文字列を送信していました』

[kz_s]

いつの間にSSLが中間者攻撃されるようになってたのか！と思ったけど、クライアント側にダミーの証明書を入れてるみたい？ 企業内での監視システムだし、各端末に設定させるってことか。

[teppeis]

Baidu、やる気マンマンやないか。

[doroyamada]

simeji開発陣は百度に製品だけでなく良心まで売っていたのか。