元Googleエンジニア「TikTokはパスワードなど全文字入力を取得できる」 → 公式が反論 → ニューヨーク・タイムズがさらに反論の論争に

プライバシー研究者で元GoogleエンジニアのFelix Krause（フェリックス・クラウス／＠KrauseFx）さんが8月19日に公開した、SNSのモバイルアプリに関するセキュリティの懸念事項に関するレポートが話題です。このレポートにTikTok公式がTwitterで反論しましたが、さらにその反論にニューヨーク・タイムズ記者が反論するちょっとした論争に発展しています。 フェリックス・クラウスさんのレポート フェリックスさんのレポートは、アプリでURLをクリックした際などにリンク先をスマートフォンのSafariやChromeなどデフォルトブラウザではなく、アプリ内で開く“内蔵ブラウザ”についてまとめたもの。一部のアプリでは、この内蔵ブラウザがセキュリティリスクを抱えているということです。 このレポートでは、特にTikTokが最も多くのリスクを抱えていると指摘。リンクをタップした際にデフォ

[akanama]

“「このコードはデバッグ、トラブルシューティング、パフォーマンス監視にのみ使用されている」” … なんの反論にもなってなくて笑った。

[hylom]

そもそもAppleの規約的に任意のWebページを開けるアプリ内ブラウザでこういうことをやるとレビューを通らないはずなんだけどなんで通ってるんですかね

[itotto]

コードが入っている以上は実際に使っているかどうかにかかわらず問題として指摘されるのは当然。あと、それに対するユーザーからの反応は普段のサービスの姿勢や誠実さに対する評価でもあると思う。

[ardarim]

「このコードはデバッグ、トラブルシューティング、パフォーマンス監視にのみ使用されている」それ、バックドアって言うんですが。

[ite]

正直なところ、中韓のアプリは「意図的に脆弱性を混入させている」と確信している。過去の実績があまりにも多い。中国はもう国内での盗聴を隠していないが、外国にはまだ隠しているというだけ。

[pendamadura]

中国製のアプリがバックドアを仕込んでいるのはまぁ間違いない一方で、じゃあ俺のプライバシーに利用価値があるかというと無いんだよなぁ

[champlasonic]

バックドア云々以前にアドブロックが効かないInAppBrowserは使いたくない。はてブアプリも醜悪な広告をみたくないからブラウザを使っている。

[sumida]

TikTokアプリとか危なくて入れられない。

[gpx-monya]

“リンクをタップした際にデフォルトブラウザで開く選択が用意されておらず、自動的に内蔵ブラウザで開きます。”LINEでも一旦内蔵ブラウザで開いてからじゃないとデフォルトのブラウザで開けないのめんどくさい

[dbfireball]

ブコメに「バックドア」って書いてる人がいるけど、エラー情報を収集するためのコードは大抵のスマホアプリに入ってる。じゃないと不具合改修も出来ない。何が送信されているかの確認が必要なんだよこの件は。

[TakayukiN627]

エラー情報収集のためであっても、全てのキーボード入力とタップを監視するのはNG。ブコメを見て、これが常識ではない人がいることが分かって驚愕している。

[triggerhappysundaymorning]

"このコードはデバッグ、トラブルシューティング、パフォーマンス監視にのみ使用されている」と内容を否定しました。"←全然否定になってなくて草。可能であることが問題なんだけど中国では理解できないのかな。

[mongrelP]

「フェリックスさんのレポートはTikTokだけでなく、InstagramやFacebookメッセンジャーの内蔵ブラウザについても同様のリスクがある」やはりFBはFBだったか

[adsty]

内蔵ブラウザはどうも危険に思えてしまう。

[confi]

西側の人間は便利なもんにダラダラ流れて中国に進んで支配されるしもう勝負あった感じだな

[sanam]

やってなくてよかったTikTok。

[tpnewsshare]

repost

[NOV1975]

はてブのブラウザからTwitter見るとしきりにログインを要求される（UI乗っ取られるモーダル出るのが不愉快）んだけど、こういうのもあるからログインしない。てか、アプリ内ブラウザは閲覧しかしたくないわ。

[shag]

LINE もそうだけど、自前で努力してコンテンツ開くクライアントは、追跡したい意思があるとしか思えないんだよな。

[buhoho]

FB、インスタ、TikTok、だいたいヤバそうなアプリはだいたいヤバい感じ

[acealpha]

取れてはいるが使うとは言ってない（取ってる自白

[sisya]

tiktokが悪事を悪事として認識せずに行ってることがよくわかる。モラルが無いから簡単に踏み外す。

[Lhankor_Mhy]

よく考えれば、アプリ上でキーイベントを記録すること自体を禁止するのは難しいから、InAppBrowser に限らずアプリで重要な情報を入力すること自体が危ないってことだよなあ。

[hevohevo]

なるほど。この件では、リンクなどをタップすると原則アプリ内ブラウザに誘導する機能が問題と。あと、具体的にどんな情報を収集しているかが最大の問題よね。

[koyancya]

内蔵ブラウザ全般、なくなって欲しいが

[bzb05445]

戦争前夜って感じ。

[getcha]

そう言えば、slashdot で chrome がブラウザの識別子をつけて謎のデータを送っている。というのが話題になったな…ブラウザも何送ってるかわからんよ。みんなポジショントーク。

[natu3kan]

普通はパスワードって制御してるコンピュータだけ理解できる形にして、システムを管理してる側が取得できるようにしたりしないで、わからない様にするのが普通だと思うが。

[civicpg]

iOSの場合は内蔵ブラウザといえどSafari仕様だから大丈夫だったはずと思いきや、JS埋め込んで監視する手段まで取れるのか。内蔵でもJS埋め込みとか出来ないようにならんのかな

[shisanin]

TikTokだけでなく、中国製品全般的にやばい。そもそも中国共産党に逆らうとアリババジャックマーのように資産没収とかになっちゃう。逮捕はこれからだろう。国はとっとと中国製製品の輸入禁止とサービスの停止すべき

[paradisemaker]

つまりデータ取得してますってことよね "このコードはデバッグ、トラブルシューティング、パフォーマンス監視にのみ使用されている"

[verda]

TikTok以外も上がってるのでちょっとタイトルはなんとかした方がいいわ

[shinji]

"InstagramやFacebookメッセンジャーの内蔵ブラウザについても同様のリスクがあると指摘。特にInstagramの内蔵ブラウザは、TikTokとはまた別の深刻なセキュリティリスクを抱えていると指摘しています。"

[shophonpo4]

中国では、携帯で書き込みどころか海外の情報に触れただけでも逮捕されたりしてるからな。この比ではない。

[at_yasu]

「 which is solely used for debugging, troubleshooting and performance monitoring.」取ってるやんけｗｗ

[new3]

LINEもサーバー移転問題ものすごく軽視されて未だに全体としては移転するする詐欺状態でサーバーは韓国にまだあるしテキストと位置情報はE2EEというわりに何故か警察に開示可能でそれ以外の情報はE2EEですらないと公言…

[rgfx]

ブコメ、debug用ビルドならまだしもrelease用ビルドに仕込んだキーロガーを「エラー情報を収集するためのコード」呼ばわりするのやめろ

[deep_one]

保存しているパスワードとかを使おうとするとAndroid OSが「信頼できるアプリか？」って聞いてくるやつ。

[songe]

中国版LINEの微信も怪しげな内蔵ブラウザで開く変な挙動をするんだよな。

[dot]

実際に情報を抜いていたりとか悪用しているかどうかは関係無く、いつでも情報が抜け、悪用できる状態にあることが問題なので、現時点で悪用してないよというのは何の意味も成さない。