新型コロナウイルス接触確認アプリ(COCOA)で攻撃できる問題

はじめに#COCOAボランティアデバッグ に尽力されている皆様に深い敬意を表します。 併せて、 OSS コミュニティへの悪影響を残している関係行政機関・各社担当者を強く軽蔑します。 project dead? · Issue #773 · Covid-19Radar/Covid19Radar · GitHub COCOA が抱えるアプリケーション設計上の問題点攻撃者が COVID-19 感染者になりすまして「陽性情報の登録」を比較的容易に行える設計であること登録に必要な「処理番号」のフォーマットは半角数字8桁であることが明示されてしまっているブルートフォース対策としてなのか、複数回の入力ミス発生時は「登録回数上限になりました。アプリケーションを終了します」としてアプリケーションが強制終了するが、特にそれ以上のペナルティは確認できないSMS による処理番号通知を行っているのであれば、8桁数字

[neet_modi_ki]

「文句言うならプルリク送る」ってPRもissueも立ってるのに厚労省側が完全無視決めこんでるのが諸悪の根源なのですがそれは。 https://github.com/Covid-19Radar/Covid19Radar/issues/773

[Falky]

文句があるならPRとか言ってるやつは皮肉だよな？一番最初に貼ってあるissue#773見てるか？

[trickart412]

「文句言うならプルリク送る、それがOSS。」とか言ってるのと星付けてるやつ、「project dead?」って言うissueが立っててプルリクどころか更新すらされてない状態も理解出来ないのか？

[sun330]

なんで不具合放置でCMやってるのか政府の考えがよくわからない…。

[mur2]

“本日よりCOCOAの導入を促すテレビCMが放映されている(中略)一方で COCOA アプリケーションのリリースは 2020年7月13日 にリリースされた v1.1.2 を最後にアップデートが途絶えており、不具合ととれる多数の事象は解決されず“

[ardarim]

免罪符にはなり得ないが、あくまで善意を前提としたシステムだからね…。そもそもこの問題に関わらず他の問題がまったく修正されてないという根本的（政治的？）な問題が。勘違いしてる人いるけどこれOSSではない。

[hhungry]

最初の開発者がコミュニケーション不全のイキリ野郎だったのが災厄。OSSのポーズ取りたかっただけじゃん。舐めんな。

[miron_mikan]

リポジトリと製品版が別で、製品版の管理会社がダンマリだから絶望しかない。またデプロイ王子とかが継続して開発くれた方がマシだったよ。/公式声明がないの、善意を踏みにじってるよね

[MrBass]

善意を前提にしたシステムではない。 悪用できるのならば脅威モデルの分析ができていないのだ

[ffrog]

感染者に成りすまして嫌がらせする事までは、さすがに開発側は予想してなかったかもしれないな…性善説でなんとかなってるのかも

[kobito19]

全部強制終了されたな https://github.com/Covid-19Radar/Covid19Radar/issues/

[giboaiko]

プルリクの無視はないよなぁ

[sync_sync]

COCOAの濃厚接触のカウントがどれだけなのか、正直微妙に思ってる。本当に1m以内で15分以上なのか。それにも関わらず「COCOAを入れないと入場できません」ってイベントも既に始まってる。

[atsushieno]

日本マイクロソフトが無関係っていうコメントを書いてるのがいるのはどういうことなんだ? 契約は変わってないだろ。

[dorje2009]

"IT/ICT や OSS を通じて昨今の COVID-19 感染拡大を発端とする諸問題を解決する動きは支持したいですが、このような杜撰なサービス運営により IT/ICT や OSS に対する世間の期待を悪化させることを強く憂慮" 御意

[n_231]

メルカリで陽性者登録番号が売られる日も近そうだなw

[kamezo]

アップデートは止まってるわ、保健所等からはバグを前提にした利用と通知の解釈をしろと言われるわ、そのうえにこの脆弱性か。特に厚労省も一次請けも沈黙してるのが解せない。

[ryo0821]

OSSっていう肩書が一番しっくりくる

[kazumi_wakatsu]

“2020年7月13日 にリリースされた v1.1.2 を最後にアップデートが途絶えており、不具合ととれる多数の事象は解決されず、上記に挙げたような問題点が払拭されることも残念ながら当面は無さそう”

[tyhe]

そんな簡単にブルートフォースできるならもう誰かがやってると思うけど。

[hetoheto]

開発者が病んだってのが一時期話題になって使う気なくなっちゃった。。

[TETOS]

そういえばこのソフトから通知が来ればPCRをただで受けられるんだっけ？

[dgwingtong]

イジェクトとして、文句言ってる天才に差し替えろ！

[saro363]

“ #検察庁法改正案に抗議します で一躍有名になったきゃりーぱみゅぱみゅ氏”一躍有名に・・・？

[monbobori]

8桁のランダムな数字から陽性者の番号を探し出して、ライバル企業のオフィスそば(受付等)に行ってステイするだけで、陽性者の通知を大量発生させて業務をストップさせられるのか…

[birds9328]

いっそプロプライエタリでやった方が良かったのでは。

[Rikerike]

どうやって陽性者になりすますのだろうか？　番号総当たり？　陽性者の処理番号を探すの？

[ga_kun]

“自宅待機を要請されることに際する経済損失はもちろん補填されない” いちばんのバグはこれでしょ

[Crone]

リリース速度を重視するなら不具合も細かいサイクルで直していくべきだし、作ったきりにするなら設計や試験に時間をかけるべき。世間も両方求めすぎではあるけど、だからこそ説明が必要。今とても中途半端。

[wktk_msum]

どんな対応に出るのか

[ONOYUGO]

“攻撃者が COVID-19 感染者になりすまして「陽性情報の登録」を比較的容易に行える設計であること”　←　ダメじゃん、、、

[lovepsy]

脆弱性が以前にプロジェクト全体が問題だったのか

[tyouaniki]

日本マイクロソフトむら関係者と、その擁護者が割と大部分の元凶な気がする。/ それはそれとしてひろみちゅの攻撃性は弾劾されるべき。

[circled]

dan kogaiさんがCOCOAプロジェクトは糞と弾言されておられる。 → https://sp.ch.nicovideo.jp/dankogai/blomaga/ar1936225

[maaaaago]

COCOAに振り回されたオレは支援ブクマ。

[beginnerchang]

プルリク云々騒いでいる奴は「マージしてから更新版アプリをストアに流すまで」のコストを度外視している。だいたい、なんで一般開発者がそのコストを引き受けるんだ？最初からAppleとGoogleが作っときゃよかったんだよ

[shidho]

大人のおもちゃみたいに「本製品はジョークグッズです」って書いてあったような気がしたけど(というか正直その程度の精度だと思ってる)。

[kazatsuyu]

政治主導で国民にインストールさせようってアプリが『善意を前提』にしていて良いわけあるか

[ka-ka_xyz]

ブルートフォース云々、アプリそのものよりも裏に居る(と思う)WebAPI側でどんな対策を取ってるかの方が重要じゃろ感（常識的には管理側未登録や使用済みの番号は使えないはずで、ここで書かれた攻撃はかなり厳しそう

[sin20xx]

一応言及しておくとOSSの開発と厚生労働省は基本的には無関係が前提でそもそもOSSのメンテまで厚生労働省が行うのであればそれはOSSではなく直接管理のプロダクトです。なお、OSSのオーナーも厚生労働省ではありません。