スマートフォンアプリのSSLとか

徳丸 浩 @ockeghem

@typex20 利用者が「自分の端末の通信内容を知る権利」は無視して差し支えないものとお考えですか?

徳丸 浩 @ockeghem

@typex20 法的根拠がなければ、利用者の権利は無視して差し支えないとお考えですか? それとも、そもそも「知る権利」そのものを否定しますか?

徳丸 浩 @ockeghem

@typex20 技術を支える基本的な考え方ですから、技術論だと思いますけどね。まぁ、答えたくなければ答えなくていいですよ。利用者には、「通信内容が不透明なソフト」を使わない権利もありますからね。でも、通信内容の透明性を考慮したソフトを脆弱呼ばわりするのは間違いです

徳丸 浩 @ockeghem

@typex20 では、思うところを言って下さい

徳丸 浩 @ockeghem

@typex20 いや、１ユーザとして、私は通信内容に変な内容が含まれていないか心配なわけですよ。その私の心配に対して何法何条の根拠を示さなければいけないのですか?

徳丸 浩 @ockeghem

@typex20 それはSSLを普通に使えば(証明書のエラーチェックだけで)防げることです。現在の論旨とは関係ありません

徳丸 浩 @ockeghem

@typex20 それは、端末を誰かが勝手に操作して、ルート証明書を追加してしまうような脅威のことを言っているのですか?

徳丸 浩 @ockeghem

@typex20 私の方は全然クリアではありません

徳丸 浩 @ockeghem

見物の方へ。徳丸の主張:SSL使用時にはサーバー証明書のエラーチェックだけすればよい。なかのきえた氏の主張:SSL使用時にはサーバー証明書のエラーに加えてルート証明書のフィンガープリントも必ずチェックしなければ脆弱性

徳丸 浩 @ockeghem

見物の方へ：徳丸の意図は、汎用的な脆弱性要件をはっきりさせたいということです。IPAに届けたら脆弱性と判定されるような基準が、スマートフォンアプリケーション分野では確立していません。それを明確にしていきたいのです。アプリケーション要件として基準をさらに厳しくすることは自由です

徳丸 浩 @ockeghem

競技のルールを決めるようなものですよね。大丈夫だと思っていたアプリが、思いもかけない理由で「脆弱だ」と言われたら誰だっていやでしょう。共通認識としての脆弱性の基準が欲しい。ただし、それが時代によって変化することはあり得ます。要件による変動もありますがそれは個別の話

にーまる。 @typex20

@d6rkaiz 恐れ入りますが全ツイートの削除をお願いいたします。m(_ _)m

d6rkaiz @d6rkaiz

@typex20 もしよろしければ、理由を伺ってもいいですか？

にーまる。 @typex20

@d6rkaiz 恐れ入りますが、twiiter社の利用規約、togetterの利用規約に従い削除をお願いします。自分でも削除出来ますがまずは作成者の方にご依頼させて頂きます。

d6rkaiz @d6rkaiz

@typex20 いえ、それはわかってますが、理由をお伺いしたかったのです。先ほど非公開設定にしましたので、もう見れなくなってるとは思います。

にーまる。 @typex20

@d6rkaiz ご対応ありがとうございます。

d6rkaiz @d6rkaiz

結局理由は教えてもらえなかった。

にーまる。 @typex20

@d6rkaiz それではお答えします。私は意見を変えるつもりはなく、全く噛み合わない、何も実りのないこの話を継続するつもりがないからです。

d6rkaiz @d6rkaiz

@typex20 お答え有難う御座います。意見の変更を期待したものではありませんし、継続を希望するものでもなかったのですが、あのまとめを契機として話しが続く恐れはたしかにありますね。了解しました。

にーまる。 @typex20

@d6rkaiz ありがとうございます。普段はお断りしないのですが、今回については掲載する価値はないと判断いたしました。私は様々な立場の観点からスマートフォンの端末、アプリのセキュリティーについて考えて行きたいと思います。(^_^)